重大（Critical）： java-1.5.0-sunのセキュリティアップデート

複数のセキュリティ問題を修正したjava-1.5.0-sunのアップデートパッケージがRed Hat Enterprise Linux 4 Extrasと5 Supplementaryで利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「重大（Critical）」のセキュリティ問題と評価されています。

Java Runtime Environment（JRE）には、Java言語で記述されたアプレットやアプリケーションを実行するために必要なソフトウェアとツールが含まれています。

JREに含まれていた問題は、信頼できないアプレットやアプリケーションに上位の権限を与えてしまいます。これをリモートのアタッカーに悪用された場合、JREを利用しているユーザによってアクセス可能なローカル・ファイルへのアクセスや、ローカル・アプリケーションの実行を許してしまう恐れがあります。（CVE-2008-1185, CVE-2008-1186）

Java XSLT処理クラスの中では1つの問題が発見されました。信頼できないアプレットやアプリケーションによるサービス拒否の誘発や、JREを実行しているユーザ・パーミッションで任意のコードの実行を許してしまうものです。（CVE-2008-1187）

Java Web Start (JWS)では複数のバッファ・オーバーフローが発見されました。これらの問題は信頼できないJNLPアプリケーションに、JREを実行しているユーザがアクセス可能なローカル・ファイルへのアクセスや、ローカル・アプリケーションの実行を許してしまいます。（CVE-2008-1188, CVE-2008-1189, CVE-2008-1190, CVE-2008-1191, CVE-2008-1196）

Java Plug-inの中では1つの問題が発見されました。リモートのアタッカーによる同一生成元ポリシー（Same Origin Policy）のバイパスを可能にし、JREを実行しているユーザ・パーミッションで任意のコードの実行を許してしまうものです。（CVE-2008-1192）

JREの画像解析ライブラリの中では1つの問題が発見されました。信頼できないアプレットやアプリケーションによるサービス拒否の誘発や、JREを実行しているユーザ・パーミッションで任意のコードの実行を許してしまうものです。（CVE-2008-1193）

JREのカラーマネージメント・ライブラリの中では1つの問題が発見されました。信頼できないアプレットやアプリケーションに、JVMをクラッシュさせる機会を与えてしまうものです。（CVE-2008-1194）

JREは信頼できないJavaScriptコードにJava API群を利用したローカル・ネットワークへの接続を許してしまいます。リモートのアタッカーがこれを悪用すると、ローカル・ネットワークのサービスへアクセスできてしまいます。（CVE-2008-1195）

このアップデートでは、Java Plug-inがブラウザに正しくインストールされた後でも利用できなかった問題も解決されています。

java-1.5.0-sunのユーザは、これらの問題を解決する上記アップデートパッケージにアップグレードしてください。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

436029 - CVE-2008-1185 Untrusted applet and application privilege escalation (CVE-2008-1186)
436030 - CVE-2008-1187 Untrusted applet and application XSLT processing privilege escalation
436293 - CVE-2008-1188 Buffer overflow security vulnerabilities in Java Web Start (CVE-2008-1189, CVE-2008-1190, CVE-2008-1191)
436295 - CVE-2008-1192 Java Plugin same-origin-policy bypass
436296 - CVE-2008-1193 JRE image parsing library allows privilege escalation (CVE-2008-1194)
436299 - CVE-2008-1195 Java-API calls in untrusted Javascript allow network privilege escalation
436302 - CVE-2008-1196 Buffer overflow security vulnerabilities in Java Web Start

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1185
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1186
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1187
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1188
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1189
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1190
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1191
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1192
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1193
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1194
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1195
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1196
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233321-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233322-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233323-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233324-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233325-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233326-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233327-1
http://www.redhat.com/security/updates/classification/#critical