重大（Critical）：java-1.5.0-ibmのセキュリティアップデート

複数のセキュリティ問題を修正したjava-1.5.0-ibmのアップデートパッケージがRed Hat Enterprise Linux 4 Extrasおよび5 Supplementaryで利用可能になりました。

このアップデートは、Red Hat セキュリティ対策チームによって、深刻度「重大（Critical）」のセキュリティ問題と評価されています。

IBMの1.5.0 Javaリリースは、IBM Java 2 Runtime EnvironmentとIBM Java 2 Software Development Kitを含んでいます。

Java Web Startコンポーネントでセキュリティ脆弱性が発見されました。信頼性のないアプリケーションがその権限を引き上げることにより、Java Web Startアプリケーションを実行しているユーザがアクセスできるローカルファイルに対して、読み取りや書き込みを行うことが可能です。（CVE-2007-2435）

Java Runtime Environmentの画像処理コードでバッファオーバーフローが見つかりました。信頼性のないアプレットやアプリケーションによりこの欠陥が利用され、権限が引き上げられたり、Java仮想マシンを実行しているユーザとして任意のコードが実行されたりする可能性があります。（CVE-2007-2788、CVE-2007-2789、CVE-2007-3004）

Java Runtime Environmentで未特定の脆弱性が発見されました。信頼性のないアプレットやアプリケーションによって、Java仮想マシンが無応答になる可能性があります。（CVE-2007-3005）

Javadocツールで、クロスサイトスクリプティング（XSS）の脆弱性を含んだHTMLドキュメンテーションページを生成できました。リモート攻撃者がこれを利用して、任意のWebスクリプトやHTMLを挿入する可能性があります。（CVE-2007-3503）

Java Web StartのURL解析コンポーネントは、JNLPファイルの解析コード内にバッファオーバーフローの脆弱性が含まれています。リモート攻撃者が悪意のあるJNLPファイルを作成してこの欠陥を悪用し、ファイルが開かれたときに任意のコードを実行することが可能です。（CVE-2007-3655）

アプレットクラスローダで欠陥が見つかりました。信頼性のないアプレットによってこの欠陥が利用され、ネットワークアクセスの制限が回避される可能性があります。この場合、そのアプレットを実行したマシン上でホスティングされているサービスに接続することが可能です。（CVE-2007-3922）

java-ibm-1.5.0のすべてのユーザは、これらの問題を解決するIBMの1.5.0 SR5a Javaリリースを含む上記アップデートパッケージにアップグレードしてください。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

239660 - CVE-2007-2435 javaws vulnerabilities
242595 - CVE-2007-3004 Integer overflow in IBM JDK's ICC profile parser
246765 - CVE-2007-3503 HTML files generated with Javadoc are vulnerable to a XSS
248864 - CVE-2007-3655 A buffer overflow vulnerability in Java Web Start URL parsing code
249533 - CVE-2007-3922 Vulnerability in the Java Runtime Environment May Allow an Untrusted Applet to Circumvent Network Access Restrictions
250725 - CVE-2007-2788 Integer overflow in the embedded ICC profile image parser in Sun Java Development Kit
250729 - CVE-2007-2789 BMP image parser vulnerability
250733 - CVE-2007-3005 Unspecified vulnerability in Sun JRE

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2435
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2788
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2789
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3004
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3005
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3503
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3655
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3922
http://www.redhat.com/security/updates/classification/#critical