Oracle 关键修补程序更新公告 - 2014 年 10 月

描述：

关键修补程序更新 (CPU) 为多种安全漏洞的修补程序集合。

更多信息请访问：
http://www.oracle.com/technetwork/topics/security/cpuoct2014-1972960.html

更新后的 java-1.7.1-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7 Supplementary。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

IBM Java SE 版本 7 Release 1 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。详细的漏洞描述信息链接自 IBM“安全警报”页面，此页面列于“参考”部分中。（CVE-2014-3065、CVE-2014-3566、CVE-2014-4288、CVE-2014-6456、CVE-2014-6457、CVE-2014-6458、CVE-2014-6476、CVE-2014-6492、CVE-2014-6493、CVE-2014-6502、CVE-2014-6503、CVE-2014-6506、CVE-2014-6511、CVE-2014-6512、CVE-2014-6515、CVE-2014-6527、CVE-2014-6531、CVE-2014-6532、CVE-2014-6558）

CVE-2014-6512 问题由 Red Hat 产品安全的 Florian Weimer 发现。

注意：通过此更新，IBM SDK 现在会禁用 SSL 3.0 协议以处理 CVE-2014-3566 问题（也称为 POODLE）。有关此更改的详细信息，以及有关如何重新启用 SSL 3.0 支持（如有必要）的说明，请参阅“参考”部分中链接的 IBM 文章。

建议所有 java-1.7.1-ibm 用户升级这些更新程序包，其中包含 IBM Java SE 7R1 SR2 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

java-1_7_0-ibm 已更新到版本 1.7.0_sr7.2，修复了 21 个安全问题。

已修复这些安全问题：

- 不明漏洞。(CVE-2014-3065)

- SSL 协议 3.0 通过 1.0.1i 等产品在 OpenSSL 中使用，它使用非确定性的 CBC 填充，这使得中间人攻击者更容易通过填充 Oracle 攻击（即“POODLE”问题）来获得明文数据。(CVE-2014-3566)

- Oracle Java SE 6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞，允许远程攻击者通过与 AWT 相关的矢量影响机密性、完整性和可用性。(CVE-2014-6513)

- Oracle Java SE 7u67 和 8u20 中的不明漏洞允许远程攻击者通过未知矢量来影响机密性、完整性和可用性。
 (CVE-2014-6456)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6532 不同。
 (CVE-2014-6503)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6503 不同。
 (CVE-2014-6532)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-6493 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-4288)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-6493)

- 在 Firefox 中运行时，Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性。
 (CVE-2014-6492)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性。(CVE-2014-6458)

- 在 Internet Explorer 中运行时，Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许本地用户通过与部署相关的未知矢量影响机密性、完整性和可用性。
 (CVE-2014-6466)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响机密性、完整性和可用性。(CVE-2014-6506)

- Oracle Java SE 7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响完整性，此漏洞与 CVE-2014-6527 不同。(CVE-2014-6476)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响完整性。(CVE-2014-6515)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与 2D 相关的未知矢量影响机密性。
 (CVE-2014-6511)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响机密性。(CVE-2014-6531)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 R28.3.3 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响完整性。
 (CVE-2014-6512)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 R28.3.3 中的不明漏洞允许远程攻击者通过与 JSSE 相关的矢量影响机密性和完整性。(CVE-2014-6457)

- Oracle Java SE 7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响完整性，此漏洞与 CVE-2014-6476 不同。(CVE-2014-6527)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响完整性。(CVE-2014-6502)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 JRockit R28.3.3 中的不明漏洞允许远程攻击者通过与安全相关的未知矢量影响完整性。(CVE-2014-6558)

有关更多信息，请访问：http://www.ibm.com/developerworks/java/jdk/alerts/#IBM_Security_Update_November_2014

远程 Redhat Enterprise Linux 5 / 6 主机上安装的程序包受到 RHSA-2015:0264 公告中提及的多个漏洞影响。

  - IBM JDK：通过共享的类数据的特权升级问题 (CVE-2014-3065)

  - IBM JDK：Java CMS keystore 提供程序可能允许暴力破解私钥恢复 (CVE-2014-3068)

  - IBM JDK：特权升级问题 (CVE-2014-3086)

  - SSL/TLS：降级旧版加密攻击时的 Padding Oracle (CVE-2014-3566)

  - OpenJDK：SubjectDelegator 保护不足 (JMX, 8029755) (CVE-2014-4209)

  - OpenJDK：克隆传递到代理方法的接口 (Libraries, 8035009) (CVE-2014-4218)

  - OpenJDK：字节码验证不会阻止 ctor 调用 this() 和 super() (Hotspot, 8035119) (CVE-2014-4219)

  - Oracle JDK：已在 6u81、7u65 和 8u11 中修复的不明漏洞 (Deployment)（CVE-2014-4227、CVE-2014-4265）

  - OpenJDK：RSA 伪装问题 (Security, 8031346) (CVE-2014-4244)

  - OpenJDK：阻止具有非公共构造函数的服务实例化 (Security, 8035004) (CVE-2014-4252)

  - OpenJDK：AtomicReferenceFieldUpdater 缺少原始类型检查 (Libraries, 8039520) (CVE-2014-4262)

  - OpenJDK：Diffie-Hellman 公钥验证不充分 (Security, 8037162) (CVE-2014-4263)

  - Oracle JDK：已在 6u85、7u71 和 8u25 中修复的不明漏洞 (Deployment)（CVE-2014-4288、CVE-2014-6458、CVE-2014-6492、CVE-2014-6493、CVE-2014-6503、CVE-2014-6515、CVE-2014-6532）

  - OpenJDK：针对 TLS/SSL 连接的三重握手攻击 (JSSE, 8037066) (CVE-2014-6457)

  - OpenJDK：加载 ResourceBundle 时，LogRecord 使用错误的 CL (Libraries, 8042797) (CVE-2014-6502)

  - OpenJDK：在系统记录器上设置资源包时，权限检查不充分 (Libraries, 8041564) (CVE-2014-6506)

  - ICU：布局引擎 ContextualSubstitution 缺少边界检查 (JDK 2D, 8041540) (CVE-2014-6511)

  - OpenJDK：DatagramSocket 连接的套接字缺少源检查 (Libraries, 8039509) (CVE-2014-6512)

  - OpenJDK：ResourceBundle 名称检查不充分 (Libraries, 8044274) (CVE-2014-6531)

  - OpenJDK：CipherInputStream 不正确的异常处理 (Security, 8037846) (CVE-2014-6558)

  - ICU：字体解析 OOB 读取 (OpenJDK 2D, 8055489) (CVE-2014-6585)

  - OpenJDK：MulticastSocket 空指针取消引用 (Libraries, 8056264) (CVE-2014-6587)

  - ICU：字体解析 OOB 读取 (OpenJDK 2D, 8056276) (CVE-2014-6591)

  - OpenJDK：SSL/TLS 握手期间错误跟踪 ChangeCipherSpec (JSSE, 8057555) (CVE-2014-6593)

  - IBM JDK：在 2015 年 2 月更新中已修复的不明的完整 Java 沙盒绕过 (CVE-2014-8891)

  - IBM JDK：在 2015 年 2 月更新中已修复的不明的部分 Java 沙盒绕过 (CVE-2014-8892)

  - OpenJDK：垃圾回收器中的虚拟引用处理问题 (Hotspot, 8047125) (CVE-2015-0395)

  - Oracle JDK：已在 6u91、7u75 和 8u31 中修复的不明漏洞 (Deployment)（CVE-2015-0403、CVE-2015-0406）

  - OpenJDK：通过文件选择器泄漏目录信息 (Swing, 8055304) (CVE-2015-0407)

  - OpenJDK：在 RMI 传输中使用错误的上下文类装载器 (RMI, 8055309) (CVE-2015-0408)

  - OpenJDK：DER 解码器无限循环 (Security, 8059485) (CVE-2015-0410)

  - OpenJDK：代码特权检查不充分 (JAX-WS, 8054367) (CVE-2015-0412)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 java-1.7.0-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6 Supplementary。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

[2014 年 12 月 2 日更新] 此公告已更新，包括了此勘误表中以前缺少的更新后的 java-1.7.0-ibm-jdbc 和 java-1.7.0-ibm-plugin 程序包。未对此勘误表中的其他程序包进行任何变更。

IBM Java SE 版本 7 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。详细的漏洞描述信息链接自 IBM“安全警报”页面，此页面列于“参考”部分中。（CVE-2014-3065、CVE-2014-3566、CVE-2014-4288、CVE-2014-6456、CVE-2014-6457、CVE-2014-6458、CVE-2014-6476、CVE-2014-6492、CVE-2014-6493、CVE-2014-6502、CVE-2014-6503、CVE-2014-6506、CVE-2014-6511、CVE-2014-6512、CVE-2014-6515、CVE-2014-6527、CVE-2014-6531、CVE-2014-6532、CVE-2014-6558）

CVE-2014-6512 问题由 Red Hat 产品安全的 Florian Weimer 发现。

注意：通过此更新，IBM SDK 现在会禁用 SSL 3.0 协议以处理 CVE-2014-3566 问题（也称为 POODLE）。有关此更改的详细信息，以及有关如何重新启用 SSL 3.0 支持（如有必要）的说明，请参阅“参考”部分中链接的 IBM 文章。

注意：这是通过 Red Hat Enterprise Linux 6 补充渠道分发的 java-1.7.0-ibm 程序包的最后更新。
RHEA-2014:1619 公告作为 Red Hat Enterprise Linux 6.6 的一部分发布，引入了新的 java-1.7.1-ibm 程序包。这些程序包含有 IBM Java SE 版本 7 Release 1，此版本在 IBM Java SE 版本 7 中 java-1.7.0-ibm 程序包的基础上增加了多项增强。所有 java-1.7.0-ibm 用户必须迁移到 java-1.7.1-ibm 程序包，以继续通过 Red Hat Enterprise Linux 6 补充渠道接收 IBM Java SE 版本 7 的更新。

建议所有 java-1.7.0-ibm 用户升级到这些到更新后的程序包，其中包含 IBM Java SE 7 SR8 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

更新后的 java-1.7.0-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 5 Supplementary。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

IBM Java SE 版本 7 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。详细的漏洞描述信息链接自 IBM“安全警报”页面，此页面列于“参考”部分中。（CVE-2014-3065、CVE-2014-3566、CVE-2014-4288、CVE-2014-6456、CVE-2014-6457、CVE-2014-6458、CVE-2014-6476、CVE-2014-6492、CVE-2014-6493、CVE-2014-6502、CVE-2014-6503、CVE-2014-6506、CVE-2014-6511、CVE-2014-6512、CVE-2014-6515、CVE-2014-6527、CVE-2014-6531、CVE-2014-6532、CVE-2014-6558）

CVE-2014-6512 问题由 Red Hat 产品安全的 Florian Weimer 发现。

注意：通过此更新，IBM SDK 现在会禁用 SSL 3.0 协议以处理 CVE-2014-3566 问题（也称为 POODLE）。有关此更改的详细信息，以及有关如何重新启用 SSL 3.0 支持（如有必要）的说明，请参阅“参考”部分中链接的 IBM 文章。

建议所有 java-1.7.0-ibm 用户升级到这些到更新后的程序包，其中包含 IBM Java SE 7 SR8 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

远程主机受到 GLSA-201502-12 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

在 Oracle 的 Java SE 开发工具包和运行时环境中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

上下文有关的攻击者可能能够执行任意代码，泄露、更新、插入或删除某些数据。
 变通方案：

目前无任何已知的变通方案。

java-1_6_0-ibm 已更新到版本 1.6.0_sr16.2，修复了 18 个安全问题。

已修复这些安全问题：

- Oracle Java SE 6u81 中的不明漏洞。
 (CVE-2014-3065)

- SSL 协议 3.0 通过 1.0.1i 等产品在 OpenSSL 中使用，它使用非确定性的 CBC 填充，这使得中间人攻击者更容易通过填充 Oracle 攻击（即“POODLE”问题）来获得明文数据。(CVE-2014-3566)

- Oracle Java SE 6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞，允许远程攻击者通过与 AWT 相关的矢量影响机密性、完整性和可用性。(CVE-2014-6513)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6532 不同。
 (CVE-2014-6503)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6503 不同。
 (CVE-2014-6532)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-6493 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-4288)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-6493)

- 在 Firefox 中运行时，Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性。
 (CVE-2014-6492)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性。(CVE-2014-6458)

- 在 Internet Explorer 中运行时，Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许本地用户通过与部署相关的未知矢量影响机密性、完整性和可用性。
 (CVE-2014-6466)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响机密性、完整性和可用性。(CVE-2014-6506)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响完整性。(CVE-2014-6515)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与 2D 相关的未知矢量影响机密性。
 (CVE-2014-6511)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响机密性。(CVE-2014-6531)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 R28.3.3 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响完整性。
 (CVE-2014-6512)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 R28.3.3 中的不明漏洞允许远程攻击者通过与 JSSE 相关的矢量影响机密性和完整性。(CVE-2014-6457)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响完整性。(CVE-2014-6502)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 JRockit R28.3.3 中的不明漏洞允许远程攻击者通过与安全相关的未知矢量影响完整性。(CVE-2014-6558)

有关更多信息，请访问：http://www.ibm.com/developerworks/java/jdk/alerts/#IBM_Security_Update_November_2014

Oracle's October 2014 security update for Java fixes remote and local vulnerabilities in the following components of the Java SE JDK/JRE:

  - 2D
  - AWT
  - Deployment
  - Hotspot
  - JAXP
  - JSSE
  - JavaFX
  - Libraries
  - Security

Twenty-two of these 25 fixed vulnerabilities may be remotely exploitable without authentication, i.e., may be exploited over a network without the need for a username and password. no further details have been released by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
79208	SuSE 11.3 安全更新：Java OpenJDK（SAT 修补程序编号 9906）	Nessus	SuSE Local Security Checks	11/12/2014	1/19/2021	critical
79377	RHEL 6 / 7：java-1.7.1-ibm (RHSA-2014:1880) (POODLE)	Nessus	Red Hat Local Security Checks	11/21/2014	6/23/2023	low
79635	SuSE 11.3 安全更新：IBM Java（SAT 修补程序编号 9999）	Nessus	SuSE Local Security Checks	12/1/2014	6/28/2023	critical
81505	RHEL 5 / 6：Red Hat Satellite IBM Java Runtime (RHSA-2015:0264)	Nessus	Red Hat Local Security Checks	2/25/2015	4/24/2024	low
79379	RHEL 6：java-1.7.0-ibm (RHSA-2014:1882) (POODLE)	Nessus	Red Hat Local Security Checks	11/21/2014	6/23/2023	low
79351	RHEL 5：java-1.7.0-ibm (RHSA-2014:1876) (POODLE)	Nessus	Red Hat Local Security Checks	11/20/2014	6/23/2023	medium
81370	GLSA-201502-12：Oracle JRE/JDK：多种漏洞	Nessus	Gentoo Local Security Checks	2/16/2015	1/11/2021	critical
79634	SuSE 11.3 安全更新：IBM Java（SAT 修补程序编号 9992）	Nessus	SuSE Local Security Checks	12/1/2014	6/28/2023	critical
8550	Oracle Java Update (October 2014) Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	10/15/2014	3/6/2019	critical

Detections

Analytics

Plugins Search

critical

low

critical

low

low

medium

critical

critical

critical