icedtea-web-1.7.1-2.0.1.el7.AXS7
エラータID: AXSA:2019-3964:01
リリース日:
2019/08/07 Wednesday - 02:23
題名:
icedtea-web-1.7.1-2.0.1.el7.AXS7
影響のあるチャネル:
Asianux Server 7 for x86_64
Severity:
High
Description:
以下項目について対処しました。
[Security Fix]
- icedtea-web には実行可能なコードを署名の検証を無効にせずに JAR
ファイルに挿入することができる、攻撃者が信頼された JAR ファイルに
サンドボックス内で実行できるコードを挿入することが可能な脆弱性があります。
(CVE-2019-10181)
- icedtea-web には JAR の自動抽出中に、zip-slip 攻撃が可能な問題が
あります。攻撃者が任意の場所にファイルを書き出し、メインの実行中のア
プリケーションを置き換え、サンドボックスから脱出する可能性のある
脆弱性があります。(CVE-2019-10182)
- icedtea-web は JNLP ファイルの 要素からパスを適切にサニタイズ
していませんでした。攻撃者が特別に巧妙に細工したアプリケーションを実行
し、任意のファイルをユーザのコンテキストの任意の場所にアップロードする
脆弱性があります。(CVE-2019-10185)
一部CVEの翻訳文はJVNからの引用になります。
http://jvndb.jvn.jp/
解決策:
パッケージをアップデートしてください。
CVE:
CVE-2019-10181
It was found that in icedtea-web up to and including 1.7.2 and 1.8.2 executable code could be injected in a JAR file without compromising the signature verification. An attacker could use this flaw to inject code in a trusted JAR. The code would be executed inside the sandbox.
It was found that in icedtea-web up to and including 1.7.2 and 1.8.2 executable code could be injected in a JAR file without compromising the signature verification. An attacker could use this flaw to inject code in a trusted JAR. The code would be executed inside the sandbox.
CVE-2019-10182
It was found that icedtea-web though 1.7.2 and 1.8.2 did not properly sanitize paths from
It was found that icedtea-web though 1.7.2 and 1.8.2 did not properly sanitize paths from
CVE-2019-10185
It was found that icedtea-web up to and including 1.7.2 and 1.8.2 was vulnerable to a zip-slip attack during auto-extraction of a JAR file. An attacker could use this flaw to write files to arbitrary locations. This could also be used to replace the main running application and, possibly, break out of the sandbox.
It was found that icedtea-web up to and including 1.7.2 and 1.8.2 was vulnerable to a zip-slip attack during auto-extraction of a JAR file. An attacker could use this flaw to write files to arbitrary locations. This could also be used to replace the main running application and, possibly, break out of the sandbox.
追加情報:
N/A
ダウンロード:
SRPMS
- icedtea-web-1.7.1-2.0.1.el7.AXS7.src.rpm
MD5: 3683b69577438f8c18dea41aa7e2de86
SHA-256: 6f3ffd70d0111e40a29d3d8989b407b4e2c5d441255a8c68086dd82a9246098f
Size: 2.29 MB
Asianux Server 7 for x86_64
- icedtea-web-1.7.1-2.0.1.el7.AXS7.x86_64.rpm
MD5: 419cddc81bf7204f4aa72a0d67eada55
SHA-256: b03945f17199fa260aff684ee023af1066693d261bafc05c1b8034a2fbe344ff
Size: 1.74 MB
English