Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – January 2017) — | サイオスOSS | サイオステクノロジー

2017.02.14

Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – January 2017)

1月18日に月例のOracle Javaの脆弱性(CVE-2017-3289, CVE-2017-3272, CVE-2017-3241, CVE-2017-3260, CVE-2017-3253, CVE-2016-5546, CVE-2016-5549, CVE-2016-5548, CVE-2017-3252, CVE-2017-3262, CVE-2016-5547, CVE-2016-5552, CVE-2017-3231, CVE-2017-3261, CVE-2017-3259, CVE-2016-8328)が公開されました。今回はこのJavaの脆弱性について、各ディストリビューションの対応状況についてまとめてみます。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

1月18日に月例のOracle Javaの脆弱性が公開されました。今回はこのJavaの脆弱性について、各ディストリビューションの対応状況についてまとめてみます。

Priority

Critical

影響するバージョン

JAVA SE 6 Update113, JAVA SE 7 Update99, JAVA SE 8 Update77 以前の全てのバージョン

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2017-3289

    • 安全でないclass construction

    • 重要度 – Critical

  • CVE-2017-3272

    • atomicフィールドアップデータでのフィールドアクセスチェックの保護が不十分

    • 重要度 – Critical

  • CVE-2017-3241

    • RMIレジストリとDCGでの信頼できない入力のデシリアライゼーション

    • 重要度 – Critical

  • CVE-2017-3260

    • 脆弱性により、リモートの攻撃者からJAXPに関係してAvailabilityが侵害される可能性

    • 重要度 – Critical

  • CVE-2017-3253

    • imageio PNGImageReaderがiTXtとzTXtチャンクの受取を守らない

    • 重要度 – Moderate

  • CVE-2016-5546

    • DER入力が不正な楕円DSA(ECDSA)署名を展開する

    • 重要度 – Moderate

  • CVE-2016-5549

    • ECDSA実装のタイミング攻撃

    • 重要度 – Important

  • CVE-2016-5548

    • DSA実装のタイミング攻撃

    • 重要度 – Important

  • CVE-2017-3252

    • LdapLoginModuleの不正なuserDN展開

    • 重要度 – Moderate

  • CVE-2017-3262

    • 8u121での詳細不明の脆弱性修正

    • 重要度 – Moderate

  • CVE-2016-5547

    • ObjectIdentifier長のチェックミス

    • 重要度 – Moderate

  • CVE-2016-5552

    • URLStreamHandlerによるURLの不正なパース

    • 重要度 – Moderate

  • CVE-2017-3231

    • URLClassLoaderの不十分なアクセス制御チェック

    • 重要度 – Moderate

  • CVE-2017-3261

    • SocketOutputStream境界チェックでの整数オーバーフロー

    • 重要度 – Moderate

  • CVE-2017-3259

    • 6u141, 7u131, 8u121 で修正された詳細不明の脆弱性修正

    • 重要度 – Moderate

  • CVE-2016-8328

    • 8u121での詳細不明の脆弱性修正

    • 重要度 – Moderate

    主なディストリビューションの対応方法

    詳細は、各ディストリビューションの提供元にご確認ください

    対処方法

    各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat Satelliteを使うと管理が便利でしょう。

    また、javaを使用してサービスを提供している場合には、サービスの再起動が発生しますので、pacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

    セキュリティ系書籍案内

    技術評論社より、2/23に『【イラスト図解満載】情報セキュリティの基礎知識』が発刊されます。セキュリティの要素技術がイラスト図解でやさしく解説されており、初心者にもわかりやすくなっていますのでお薦めです。

    関連コンテンツ

    Oracle Javaの脆弱性(CVE-2016-0636)

    Oracle Javaの脆弱性(CVE-2016-0686, CVE-2016-0687, CVE-2016-0695, CVE-2016-3425, CVE-2016-3427)

    Oracle Javaの脆弱性(CVE-2016-5542, CVE-2016-5554, CVE-2016-5582, CVE-2016-5597, CVE-2016-5573)

    —–

    タイトルとURLをコピーしました