重要（Important）：java-1.5.0-sunのセキュリティアップデート

複数のセキュリティ問題を修正したjava-1.5.0-sunのアップデートパッケージがRed Hat Enterprise Linux 4 Extrasおよび5 Supplementaryで利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「重要（Important）」のセキュリティ問題と評価されています。

Java Runtime Environment（JRE）には、Javaプログラミング言語を使用して作成されたアプレットおよびアプリケーションの実行に必要なソフトウェアとツールが含まれています。

Java Runtime Environment（JRE）のアプレットキャッシングメカニズムに欠陥があったため、ネットワーク接続の作成が正しく処理されませんでした。リモート攻撃者がこの欠陥を利用して、アプレットのダウンロード元以外のマシンでサービスへの接続を作成する可能性があります。（CVE-2007-5232）

Java Web Startに複数の脆弱性が存在したため、信頼性のないアプリケーションによりJava Web Startキャッシュのロケーションが決定される可能性がありました。（CVE-2007-5238）

信頼性のないJava Web StartアプリケーションやJavaアプレットにより、ファイルをデスクトップアプリケーションにドラッグアンドドロップできました。ユーザの助けを借りたリモート攻撃者がこの欠陥を利用して、任意のファイルを移動したり、コピーしたりする可能性があります。（CVE-2007-5239）

Java Runtime Environment（JRE）において、信頼性のないJavaアプレットまたはアプリケーションにより、特大のウィンドウを表示できました。この欠陥がリモート攻撃者によって利用され、セキュリティ警告バナーが隠される可能性があります。（CVE-2007-5240）

HTTPプロキシ経由で通信する署名のないJavaアプレットにより、リモート攻撃者がJavaセキュリティモデルに違反することが可能です。キャッシュされた悪意のあるアプレットにより、他のマシン上のサービスへのネットワーク接続が作成される可能性があります。（CVE-2007-5273）

Mozilla FirefoxブラウザやOperaブラウザでロードされた署名のないアプレットにより、リモート攻撃者がJavaセキュリティモデルに違反することが可能です。キャッシュされた悪意のあるアプレットにより、他のマシン上のサービスへのネットワーク接続が作成される可能性があります。（CVE-2007-5274）

Red Hat Enterprise Linuxで上位の権限を要求するJava Web Startアプリケーションを自動的に起動できるのは、信頼性のあるコード署名証明書付きで署名されているときだけです。それ以外の場合、特権リソースにアクセスするにはユーザの確認が必要です。

java-sun-1.5.0のすべてのユーザは、これらの問題を修正するSun Java 1.5.0 Update 13を含む上記パッケージにアップグレードしてください。

品質テストにおいて、単一のHTMLページで複数のアプレットを利用するサイトを閲覧したときに、Javaブラウザプラグインが完全には機能しない場合があることがわかりました。この問題はRed Hatのパッケージングに起因したものではなく、Sun Java 1.5.0 Update 13に影響することが確認されています。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

321951 - CVE-2007-5232 Security Vulnerability in Java Runtime Environment With Applet Caching
321961 - CVE-2007-5238 Vulnerabilities in Java Web Start allow to determine the location of the Java Web Start cache
321981 - CVE-2007-5239 Untrusted Application or Applet May Move or Copy Arbitrary Files
321991 - CVE-2007-5240 Applets or Applications are allowed to display an oversized window
324351 - CVE-2007-5273 Anti-DNS Pinning and Java Applets with HTTP proxy
324361 - CVE-2007-5274 Anti-DNS Pinning and Java Applets with Opera and Firefox

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-5232
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-5238
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-5239
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-5240
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-5273
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-5274
http://www.redhat.com/security/updates/classification/#important