Security Bulletin
Summary
IBM Transformation Extender Hypervisor Editionが使用している IBM® Runtime Environment Java™ Technology Edition バージョ 6,7,8 に複数の脆弱性が存在しています。 2016年1月にIBM Java SDKアップデートの一部として公開されました。の修正には、"SLOTH"と呼ばれる脆弱性を含みます。
Vulnerability Details
脆弱性の詳細：
次のCVEに対する修正が含まれます。
CVEID: CVE-2016-0466
DESCRIPTION: An unspecified vulnerability in Oracle Java SE Java SE Embedded and Jrockit related to the JAXP component could allow a remote attacker to cause a denial of service resulting in a partial availability impact using unknown attack vectors.
CVSS Base Score: 5
CVSS Temporal Score: See https://exchange.xforce.ibmcloud.com/vulnerabilities/109948 for the current score
CVSS Environmental Score*: Undefined
CVSS Vector: (AV:N/AC:L/Au:N/C:N/I:N/A:P)
CVEID: CVE-2015-7575
DESCRIPTION: The TLS protocol could allow weaker than expected security caused by a collision attack when using the MD5 hash function for signing a ServerKeyExchange message during a TLS handshake. An attacker could exploit this vulnerability using man-in-the-middle techniques to impersonate a TLS server and obtain credentials. This vulnerability is commonly referred to as “SLOTH”.
CVSS Base Score: 7.1
CVSS Temporal Score: See https://exchange.xforce.ibmcloud.com/vulnerabilities/109415 for the current score
CVSS Environmental Score*: Undefined
CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N)
Affected Products and Versions
影響のある製品・バージョン：
次の製品・バージョンに影響があります。
Transformation Extender Hypervisor Edition
バージョン：
- 9.0.0.0
WebSphere Transformation Extender with Launcher Hypervisor Edition
バージョン:
- 8.4.1.0 - 8.4.1.3
- 8.4.0.0 - 8.4.0.5
Remediation/Fixes
修正策：
Transformation Extender Hypervisor Edition 9.0.0.0 を使用されている場合、下記のリンクからAPAR PI57205 のiFixを導入してください。
IBM Fix Central PI57205
以前のバージョンのWebSphere Transformation Extender with Launcher Hypervisor Editionを使用されている場合、下記のリンクからAPAR PI57205 のiFixを導入してください。
IBM Fix Central PI57205
Workarounds and Mitigations
回避策/軽減策：
CVE-2015-7575の回避策/軽減策
Java 7 およびそれ以降を使用されている場合、/jre/lib/security/java.security ファイルのMD5アルゴリズムを無効化することで問題に対処することができます。(両方の手順が必要です。)
- jdk.certpath.disabledAlgorithms プロパティに MD5 を追加します。
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024, MD5
- jdk.tls.disabledAlgorithms プロパティに MD5withRSA を追加します。
jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 768, MD5withRSA
Get Notified about Future Security Bulletins
References
参照情報：
[IBMサイト]
この文書は、米国 IBM 社の資料を翻訳した参考文書です。翻訳元の文書は、以下のリンクよりご参照ください。
Security Bulletin: Multiple vulnerabilities in IBM® Runtime Environments Java™ Technology Edition, Versions 6, 7, 8 affect IBM Transformation Extender Hypervisor Edition (CVE-2016-0466, CVE-2015-7575)
[CVSS情報]
独立行政法人 情報処理推進機構: 共通脆弱性評価システムCVSS概説
JVN iPedia: CVSS計算ソフトウェア日本語版
*The CVSS Environment Score is customer environment specific and will ultimately impact the Overall CVSS Score. Customers can evaluate the impact of this vulnerability in their environments by accessing the links in the Reference section of this Security Bulletin.
Disclaimer
Review the IBM security bulletin disclaimer and definitions regarding your responsibilities for assessing potential impact of security vulnerabilities to your environment.
Was this topic helpful?
Document Information
Modified date:
16 June 2018
UID
swg21977655