重大（Critical）：java-1.5.0-ibmのセキュリティアップデート

複数のセキュリティ問題を修正したjava-1.5.0-ibmパッケージがRed Hat Enterprise Linux 4 Extrasで利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「重大（Critical）」のセキュリティ問題と評価されています。

IBMの1.5.0 Javaリリースは、IBM Java 2 Runtime EnvironmentとIBM Java 2 Software Development Kitを含んでいます。

Java Runtime Environmentで脆弱性が発見されました。信頼性のないアプレットがこれらの脆弱性を利用して他のアプレットのデータにアクセスする可能性があります。（CVE-2006-6736、CVE-2006-6737）

Java Runtime Environmentでシリアライズの欠陥が発見されました。信頼性のないアプレットまたはアプリケーションがこれらの欠陥を利用して上位の権限を取得する可能性があります。（CVE-2006-6745）

Java Runtime Environmentでバッファオーバーフローの脆弱性が発見されました。信頼性のないアプレットがこれらの欠陥を利用して上位の権限を取得することにより、ローカルファイルの読み取りや書き込みを行ったり、ローカルアプリケーションを実行したりする可能性があります。（CVE-2006-6731）

Daniel Bleichenbacher氏が、PKCS #1 v1.5署名に対する攻撃を発見しました。指数3のRSA鍵が使用されている場合、攻撃者がPKCS #1 v1.5署名を偽造することが可能です。RSAでの署名の累乗計算の結果において過剰なデータがチェックされないため、誤った確認が行われます。（CVE-2006-4339）

java-ibm-1.5.0のすべてのユーザは、これらの問題を解決するIBMの1.5.0 SR3 Javaリリースを含む上記パッケージにアップグレードしてください。

このエラータ内のパッケージは、2007年1月24日にエラータRHEA-2007:0027でリリースされたパッケージとまったく同じです。今回のセキュリティアップデートは、RHEA-2007:0027の発行時点で、それにセキュリティ問題の修正が含まれることが認識されていなかったために発行されました。すでにそれらのパッケージにアップデートしている場合は、今回のアップデートを適用する必要はありません。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

227990 - CVE-2006-6736 Multiple JRE flaws (CVE-2006-6737 CVE-2006-6745 CVE-2006-6731 CVE-2006-4339)

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4339
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-6731
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-6736
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-6737
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-6745
http://www-128.ibm.com/developerworks/java/jdk/alerts/
http://www.redhat.com/security/updates/classification/#critical