重大（Critical）: java-1.5.0-ibmのセキュリティアップデート

複数のセキュリティ問題を修正したjava-1.5.0-ibmのアップデートパッケージがRed Hat Enterprise Linux 4と5で利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「重大（Critical）」のセキュリティ問題と評価されています。

IBMの1.5.0 Javaリリースには、IBM Java 2 Runtime EnvironmentとIBM Java 2 Software Development Kitを含まれています。

Java Runtime Environmentの中で発見された2つの脆弱性は、信頼されていないアプリケーションやアプレットに、割当てられているものより上位の権限の取得を許してしまうものです。悪意を持ったWebサイトはこの脆弱性を利用して、実行されているJavaプロセスの中でローカル・ファイルの読み書きやローカル・アプリケーションの実行が可能になります。（CVE-2008-0657）

Java XSLT処理クラスの中では1つの問題が発見されました。信頼できないアプレットやアプリケーションによるサービス拒否の誘発や、JREを実行しているユーザ・パーミッションで任意のコードの実行を許してしまうものです。（CVE-2008-1187）

Java Web Start (JWS)では複数のバッファ・オーバーフローが発見されました。これらの問題は信頼できないJNLPアプリケーションに、JREを実行しているユーザがアクセス可能なローカル・ファイルへのアクセスや、ローカル・アプリケーションの実行を許してしまいます。（CVE-2008-1188, CVE-2008-1189, CVE-2008-1190, CVE-2008-1191, CVE-2008-1196）

Java Plug-inの中では1つの問題が発見されました。リモートのアタッカーによる同一生成元ポリシー（Same Origin Policy）のバイパスを可能にし、JREを実行しているユーザ・パーミッションで任意のコードの実行を許してしまうものです。（CVE-2008-1192）

JREの画像解析ライブラリの中では1つの問題が発見されました。信頼できないアプレットやアプリケーションによるサービス拒否の誘発や、JREを実行しているユーザ・パーミッションで任意のコードの実行を許してしまうものです。（CVE-2008-1193）

JREのカラーマネージメント・ライブラリの中では1つの問題が発見されました。信頼できないアプレットやアプリケーションに、JVMをクラッシュさせる機会を与えてしまうものです（DoS攻撃）。（CVE-2008-1194）

JREは信頼できないJavaScriptコードにJava API群を利用したローカル・ネットワークへの接続を許してしまいます。リモートのアタッカーがこれを悪用すると、ローカル・ネットワークのサービスへアクセスできてしまいます。（CVE-2008-1195）

java-ibm-1.5.0を利用している全てのユーザは、これらの問題を解決するIBMの1.5.0 SR7 Javaリリースが含まれた上記アップデートパッケージにアップグレードしてください。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

431861 - CVE-2008-0657 java-1.5.0 Privilege escalation via unstrusted applet and application
436030 - CVE-2008-1187 Untrusted applet and application XSLT processing privilege escalation
436293 - CVE-2008-1188 Buffer overflow security vulnerabilities in Java Web Start (CVE-2008-1189, CVE-2008-1190)
436295 - CVE-2008-1192 Java Plugin same-origin-policy bypass
436296 - CVE-2008-1193 JRE image parsing library allows privilege escalation (CVE-2008-1194)
436299 - CVE-2008-1195 Java-API calls in untrusted Javascript allow network privilege escalation
436302 - CVE-2008-1196 Buffer overflow security vulnerabilities in Java Web Start

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0657
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1187
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1188
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1189
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1190
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1192
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1193
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1194
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1195
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1196
http://www.redhat.com/security/updates/classification/#critical