在 OpenJDK JRE 中發現數個與資訊洩漏、資料完整性和可用性有關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務，或透過網路洩漏敏感資料。(CVE-2014-2490、CVE-2014-4216、CVE-2014-4219、CVE-2014-4262)

在 OpenJDK JRE 中發現數個與資訊洩漏和資料完整性相關的弱點。攻擊者可惡意利用這些弱點透過網路洩漏敏感資料。(CVE-2014-4209、CVE-2014-4244、CVE-2014-4263)

在 OpenJDK JRE 中發現兩個與資料完整性有關的弱點。(CVE-2014-4218、CVE-2014-4266)

在 OpenJDK JRE 中發現兩個與資訊洩漏相關的弱點。攻擊者可惡意利用這些弱點透過網路洩漏敏感資料。(CVE-2014-4252、CVE-2014-4268)。

IBM Java 1.7.0 已更新，可修正 14 個安全性問題。

現已提供適用於 Red Hat Enterprise Linux 5、6 和 7 的更新版 java-1.6.0-openjdk 套件，可修正多個安全性問題和一個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.6.0-openjdk 套件提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Java Software Development Kit。

據發現，OpenJDK 的熱點元件並未正確驗證來自類別檔案的位元組程式碼。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2014-4216、CVE-2014-4219)

在 OpenJDK 的熱點元件事件記錄器中發現一個格式字串瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器，或可能利用 Java 虛擬機器的權限執行任意程式碼。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 元件中發現權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過 Java Sandbox 限制。(CVE-2014-4262)

在 OpenJDK 的 JMX、Libraries、Security 和 Serviceability 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-4209、CVE-2014-4218、CVE-2014-4252、CVE-2014-4266)

據發現，執行使用私密金鑰的作業時，OpenJDK 的 Security 元件中的 RSA 演算法並未徹底執行偽裝。能夠度量那些作業時間差的攻擊者可能會洩漏使用的金鑰相關資訊。(CVE-2014-4244)

OpenJDK 的 Security 元件中的 Diffie-Hellman (DH) 金鑰交換演算法實作無法正確驗證公開 DH 參數。這可能導致 OpenJDK 接受和使用弱式參數，進而允許攻擊者復原交涉金鑰。(CVE-2014-4263)

CVE-2014-4262 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

此更新也可修正下列錯誤：

* 在此更新之前，存取未同步 HashMap 的應用程式可能進入無限迴圈，並消耗過量 CPU 資源。此更新可解決此問題。
(BZ#1115580)

建議所有 java-1.6.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

現已提供適用於 Oracle Java for Red Hat Enterprise Linux 5、6 和 7 的更新版 java-1.6.0-sun 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Oracle Java SE 6 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。

此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的數個弱點。如需這些瑕疵的詳細資訊，請參閱 Oracle Java SE 重要修補程式頁面 (列於「參照」一節中)。(CVE-2014-4219、CVE-2014-4216、CVE-2014-4262、CVE-2014-4209、CVE-2014-4218、CVE-2014-4252、CVE-2014-4244、CVE-2014-4263、CVE-2014-4227、CVE-2014-4265)

CVE-2014-4262 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

注意：傳送 Oracle Java SE 套件的方法已變更。現在，這些套件已存放於個別的通道/存放庫中，在取得更新套件之前，使用者必須先執行系統要求的動作。如需訂閱新通道/存放庫的相關資訊，請參閱：https://access.redhat.com/solutions/732883

建議所有 java-1.6.0-sun 使用者皆升級至這些更新版套件，其中提供 Oracle Java 6 Update 81，並可解決這些問題。必須重新啟動 Oracle Java 所有執行中的執行個體，此更新才會生效。

在 OpenJDK JRE 中發現數個與資訊洩漏、資料完整性和可用性有關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務，或透過網路洩漏敏感資料。(CVE-2014-2483、CVE-2014-2490、CVE-2014-4216、CVE-2014-4219、CVE-2014-4223、CVE-2014-4262)

在 OpenJDK JRE 中發現數個與資訊洩漏和資料完整性相關的弱點。攻擊者可惡意利用這些弱點透過網路洩漏敏感資料。(CVE-2014-4209、CVE-2014-4244、CVE-2014-4263)

在 OpenJDK JRE 中發現兩個與資料完整性有關的弱點。(CVE-2014-4218、CVE-2014-4266)

在 OpenJDK JRE 中發現一個與可用性相關的弱點。攻擊者可加以惡意利用，進而造成拒絕服務。(CVE-2014-4264)

在 OpenJDK JRE 中發現數個與資訊洩漏相關的弱點。攻擊者可惡意利用這些弱點透過網路洩漏敏感資料。(CVE-2014-4221、CVE-2014-4252、CVE-2014-4268)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 5/6 主機上安裝的套件受到 RHSA-2015:0264 公告中提及的多個弱點影響。

  - IBM JDK：共用類別快取造成的權限提升 (CVE-2014-3065)

  - IBM JDK：Java CMS keystore 提供者可能允許復原遭暴力破解的私密金鑰 (CVE-2014-3068)

  - IBM JDK：權限提升問題 (CVE-2014-3086)

  - SSL/TLS：降級的舊版 Padding Oracle 加密攻擊 (CVE-2014-3566)

  - OpenJDK：SubjectDelegator 保護不足 (JMX，8029755) (CVE-2014-4209)

  - OpenJDK：複製介面傳遞至 proxy 方法 (Libraries，8035009) (CVE-2014-4218)

  - OpenJDK：位元組程式碼驗證無法防止 ctor 呼叫 this() 和 super() (Hotspot，8035119) (CVE-2014-4219)

  - Oracle JDK：已修正 6u81、7u65 和 8u11 中的不明弱點 (部署) (CVE-2014-4227、CVE-2014-4265)

  - OpenJDK：RSA 偽裝問題 (Security，8031346) (CVE-2014-4244)

  - OpenJDK：防止採用非公開建構函式的服務具現化 (Security，8035004) (CVE-2014-4252)

  - OpenJDK：AtomicReferenceFieldUpdater 缺少原始類型檢查 (Libraries，8039520) (CVE-2014-4262)

  - OpenJDK：Diffie-Hellman 公開金鑰驗證不足 (Security，8037162) (CVE-2014-4263)

  - Oracle JDK：已修正 6u85、7u71 和 8u25 中的不明弱點 (部署) (CVE-2014-4288、CVE-2014-6458、CVE-2014-6492、CVE-2014-6493、CVE-2014-6503、CVE-2014-6515、CVE-2014-6532)

  - OpenJDK：針對 TLS/SSL 連線的三重交握攻擊 (JSSE，8037066) (CVE-2014-6457)

  - OpenJDK：載入 ResourceBundle 時，LogRecord 使用的 CL 不正確 (Libraries，8042797) (CVE-2014-6502)

  - OpenJDK：在系統記錄器上設定資源組合時，權限檢查不足 (Libraries，8041564) (CVE-2014-6506)

  - ICU：配置引擎 ContextualSubstitution 缺少邊界檢查 (JDK 2D，8041540) (CVE-2014-6511)

  - OpenJDK：DatagramSocket 連線通訊端缺少來源檢查 (Libraries，8039509) (CVE-2014-6512)

  - OpenJDK：ResourceBundle 名稱檢查不足 (Libraries，8044274) (CVE-2014-6531)

  - OpenJDK：CipherInputStream 不正確的例外狀況處理 (Security，8037846) (CVE-2014-6558)

  - ICU：字型剖析 OOB 讀取 (OpenJDK 2D，8055489) (CVE-2014-6585)

  - OpenJDK：MulticastSocket NULL 指標解除參照 (Libraries，8056264) (CVE-2014-6587)

  - ICU：字型剖析 OOB 讀取 (OpenJDK 2D，8056276) (CVE-2014-6591)

  - OpenJDK：SSL/TLS 交握期間未正確追蹤 ChangeCipherSpec (JSSE，8057555) (CVE-2014-6593)

  - IBM JDK：已修正 2015 年 2 月更新中的不明完整 Java Sandbox 繞過問題 (CVE-2014-8891)

  - IBM JDK：已修正 2015 年 2 月更新中的不明部分 Java 沙箱繞過問題 (CVE-2014-8892)

  - OpenJDK：記憶體回收行程中存在虛設參照處理問題 (Hotspot，8047125) (CVE-2015-0395)

  - Oracle JDK：已修正 6u91、7u75 和 8u31 中的不明弱點 (部署) (CVE-2015-0403、CVE-2015-0406)

  - OpenJDK：透過檔案選擇器造成目錄資訊洩漏 (Swing，8055304) (CVE-2015-0407)

  - OpenJDK：RMI 傳輸過程中使用的內容類別載入器不正確 (RMI，8055309) (CVE-2015-0408)

  - OpenJDK：DER 解碼器無限迴圈 (Security，8059485) (CVE-2015-0410)

  - OpenJDK：程式碼權限檢查不足 (JAX-WS，8054367) (CVE-2015-0412)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Oracle's July 2014 security update for Java fixes the following vulnerabilities:

  - The Hotspot component in OpenJDK did not properly verify bytecode from the class files, which could allow a Java application or applet to bypass Java sandbox restrictions (CVE-2014-4216, CVE-2014-4219)

  - A format string flaw was discovered in the Hotspot component event logger in OpenJDK, which could be leveraged by an untrusted Java application or applet to crash the Java Virtual Machine or execute arbitrary code with the privileges of the Java Virtual Machine (CVE-2014-2490)

  - Multiple improper permission check issues were discovered in the Libraries component in OpenJDK, which could be leveraged to bypass Java sandbox restrictions (CVE-2014-4223, CVE-2014-4262, CVE-2014-2483)

  - Multiple flaws were discovered in the JMX, Libraries, Security, and Serviceability components in OpenJDK that could be leveraged to bypass certain Java sandbox restrictions (CVE-2014-4209, CVE-2014-4218, CVE-2014-4221, CVE-2014-4252, CVE-2014-4266)

  - The RSA algorithm in the Security component in OpenJDK did not sufficiently perform blinding while performing operations that were using private keys, which could allow an attacker with the ability to measure timing differences of those operations to obtain information about the used keys (CVE-2014-4244)

  - Diffie-Hellman (DH) key exchange algorithm implementation in the Security component in OpenJDK failed to validate public DH parameters properly, which could result in an attacker recovering the negotiated key (CVE-2014-4263)

ID	Name	Product	Family	Published	Updated	Severity
77181	Ubuntu 10.04 LTS / 12.04 LTS : openjdk-6 弱點 (USN-2312-1)	Nessus	Ubuntu Local Security Checks	8/13/2014	1/19/2021	high
77273	SuSE 11.3 安全性更新：IBM Java 1.7.0 (SAT 修補程式編號 9616)	Nessus	SuSE Local Security Checks	8/20/2014	1/19/2021	critical
76623	CentOS 5 / 6 / 7 : java-1.6.0-openjdk (CESA-2014:0907)	Nessus	CentOS Local Security Checks	7/22/2014	1/4/2021	high
79109	RHEL 5 / 6 / 7：java-1.6.0-sun (RHSA-2014:0908)	Nessus	Red Hat Local Security Checks	11/11/2014	1/14/2021	critical
77274	Ubuntu 14.04 LTS：OpenJDK 7 弱點 (USN-2319-1)	Nessus	Ubuntu Local Security Checks	8/20/2014	8/28/2024	high
81505	RHEL 5/6：Red Hat Satellite IBM Java Runtime (RHSA-2015:0264)	Nessus	Red Hat Local Security Checks	2/25/2015	4/24/2024	low
8332	Oracle Java Update (July 2014) Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	7/23/2014	3/6/2019	high

Detections

Analytics

Plugins Search

high

critical

high

critical

high

low

high