Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Java SEにあらたな脆弱性、旧版は完全に削除を - 不正サイト誘導に注意

Oracleは、「Java SE」にあらたな脆弱性が確認されたとして、利用者に注意を呼びかけている。

20160208_ja_001.jpg
Java.comではバージョンの確認が行える

今回あきらかになった脆弱性「CVE-2016-0603」は、Windows上で動作する「Java 8 Update 71」および「同8 Update 72」「同7 Update 95」「同6 Update 111」に存在。インストールのプロセス時に悪用が可能となるという。CVSS 2.0のスコアは「7.6」。

具体的には、悪意あるサイトなどへ誘導し、「Java」のインストールに見せかけて、インストールより前に不正なファイルをダウンロードさせることが可能となるという。複雑な手順を踏む必要があるものの、攻撃が成功するとシステムの制御を奪われるおそれがある。

同社は、今回の脆弱性についてインストール時のみ影響を受けるものであり、脆弱性へ対応するためのアップデートは不要と説明。

しかしその一方で、旧バージョンユーザーに関しては、旧バージョンを確実に削除し、正規サイトを通じて「同 6 Update 113」「同7 Update 97」「同8 Update 73」以降へアップデートすることを推奨。最新版を利用しているか確認し、正規サイト以外でJavaをダウンロードしないよう注意を呼びかけている。

お詫びと訂正:本記事初出時に、影響を受けるバージョンの説明のうち、『「Java 8 Update 71」および「同8 Update 71」』との記載がありましたが、正しくは『「Java 8 Update 71」および「同8 Update 72」』です。ご迷惑をおかけした読者、関係者のみなさまにお詫びし、訂正いたします。

(Security NEXT - 2016/02/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Apache Tomcat」に重要度「高」の脆弱性2件 - アップデート実施を
ブラウザ「Edge」に未修正の脆弱性 - 報告から90日経過、Googleが公表
「Drupal」がアップデートをリリース - XSS対策が不完全な脆弱性など修正
Apple、特定文字でクラッシュする脆弱性をアップデートで修正
富士ソフト製モバイルルータに脆弱性 - 緩和策の実施を
「WordPress」にDoS攻撃を受けるおそれ、研究者が指摘
iOS版「LINE」にMITM攻撃可能となる脆弱性 - SDKの脆弱性が影響
Gemalto製ライセンス管理製品に複数脆弱性 - ドングル接続時にFWを開放、RCEのおそれ
「ウイルスバスター」導入環境にdllハイジャックの脆弱性
MS、月例パッチで50件の脆弱性を修正 - 一部公開済みの脆弱性も