遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2014:1042 公告中提及的多個弱點影響。

  - IBM JDK：Java CMS keystore 提供者可能允許復原遭暴力破解的私密金鑰 (CVE-2014-3068)

  - IBM JDK：權限提升問題 (CVE-2014-3086)

  - Oracle JDK：已修正 7u65 和 8u11 中的不明弱點 (部署) (CVE-2014-4208、CVE-2014-4220)

  - OpenJDK：SubjectDelegator 保護不足 (JMX，8029755) (CVE-2014-4209)

  - OpenJDK：複製介面傳遞至 proxy 方法 (Libraries，8035009) (CVE-2014-4218)

  - OpenJDK：位元組程式碼驗證無法防止 ctor 呼叫 this() 和 super() (Hotspot，8035119) (CVE-2014-4219)

  - OpenJDK：MethodHandles.Lookup 修飾詞檢查不足 (Libraries，8035788) (CVE-2014-4221)

  - Oracle JDK：已修正 6u81、7u65 和 8u11 中的不明弱點 (部署) (CVE-2014-4227、CVE-2014-4265)

  - OpenJDK：RSA 偽裝問題 (Security，8031346) (CVE-2014-4244)

  - OpenJDK：防止採用非公開建構函式的服務具現化 (Security，8035004) (CVE-2014-4252)

  - OpenJDK：AtomicReferenceFieldUpdater 缺少原始類型檢查 (Libraries，8039520) (CVE-2014-4262)

  - OpenJDK：Diffie-Hellman 公開金鑰驗證不足 (Security，8037162) (CVE-2014-4263)

  - OpenJDK：InfoBuilder 不正確的傳回值 (Serviceability，8033301) (CVE-2014-4266)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

據發現，OpenJDK 的熱點元件並未正確驗證來自類別檔案的位元組程式碼。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2014-4216、CVE-2014-4219)

在 OpenJDK 的熱點元件事件記錄器中發現一個格式字串瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器，或可能利用 Java 虛擬機器的權限執行任意程式碼。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-4223、CVE-2014-4262、CVE-2014-2483)

在 OpenJDK 的 JMX、Libraries、Security 和 Serviceability 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-4209、CVE-2014-4218、CVE-2014-4221、CVE-2014-4252、CVE-2014-4266)

據發現，執行使用私密金鑰的作業時，OpenJDK 的 Security 元件中的 RSA 演算法並未徹底執行偽裝。能夠度量那些作業時間差的攻擊者可能會洩漏使用的金鑰相關資訊。(CVE-2014-4244)

OpenJDK 的 Security 元件中的 Diffie-Hellman (DH) 金鑰交換演算法實作無法正確驗證公開 DH 參數。這可能導致 OpenJDK 接受和使用弱式參數，進而允許攻擊者復原交涉金鑰。(CVE-2014-4263)

注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

現已提供適用於 Red Hat Enterprise Linux 5、6 和 7 的更新版 java-1.6.0-openjdk 套件，可修正多個安全性問題和一個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.6.0-openjdk 套件提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Java Software Development Kit。

據發現，OpenJDK 的熱點元件並未正確驗證來自類別檔案的位元組程式碼。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2014-4216、CVE-2014-4219)

在 OpenJDK 的熱點元件事件記錄器中發現一個格式字串瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器，或可能利用 Java 虛擬機器的權限執行任意程式碼。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 元件中發現權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過 Java Sandbox 限制。(CVE-2014-4262)

在 OpenJDK 的 JMX、Libraries、Security 和 Serviceability 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-4209、CVE-2014-4218、CVE-2014-4252、CVE-2014-4266)

據發現，執行使用私密金鑰的作業時，OpenJDK 的 Security 元件中的 RSA 演算法並未徹底執行偽裝。能夠度量那些作業時間差的攻擊者可能會洩漏使用的金鑰相關資訊。(CVE-2014-4244)

OpenJDK 的 Security 元件中的 Diffie-Hellman (DH) 金鑰交換演算法實作無法正確驗證公開 DH 參數。這可能導致 OpenJDK 接受和使用弱式參數，進而允許攻擊者復原交涉金鑰。(CVE-2014-4263)

CVE-2014-4262 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

此更新也可修正下列錯誤：

* 在此更新之前，存取未同步 HashMap 的應用程式可能進入無限迴圈，並消耗過量 CPU 資源。此更新可解決此問題。
(BZ#1115580)

建議所有 java-1.6.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

在 OpenJDK (Oracle Java 平台的實作) 中發現數個弱點，可能導致執行任意程式碼、Java Sandbox 遭入侵、資訊洩漏或拒絕服務。

此重要修補程式更新包含 Oracle Java SE 的 20 個新安全性修正。所有這些弱點可在無驗證情況下從遠端惡意利用，也就是指不需提供使用者名稱及密碼，就可透過網路惡意利用。

據發現，OpenJDK 的熱點元件並未正確驗證來自類別檔案的位元組程式碼。未受信任的 Java 應用程式或 applet 可能利用這些缺陷繞過 Java Sandbox 限制。(CVE-2014-4216、CVE-2014-4219)

在 OpenJDK 的熱點元件事件記錄器中發現一個格式字串瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器，或可能利用 Java 虛擬機器的權限執行任意程式碼。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 元件中發現權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用此缺陷，繞過 Java Sandbox 限制。(CVE-2014-4262)

在 OpenJDK 的 JMX、Libraries、Security 和 Serviceability 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些缺陷來繞過特定 Java Sandbox 限制。(CVE-2014-4209、CVE-2014-4218、CVE-2014-4252、CVE-2014-4266)

據發現，執行使用私密金鑰的作業時，OpenJDK 的 Security 元件中的 RSA 演算法並未徹底執行偽裝。能夠度量那些作業時間差的攻擊者可能會洩漏使用的金鑰相關資訊。(CVE-2014-4244)

OpenJDK 的 Security 元件中的 Diffie-Hellman (DH) 金鑰交換演算法實作無法正確驗證公開 DH 參數。這可能導致 OpenJDK 接受和使用弱式參數，進而允許攻擊者復原交涉金鑰。(CVE-2014-4263)

Oracle's July 2014 security update for Java fixes the following vulnerabilities:

  - The Hotspot component in OpenJDK did not properly verify bytecode from the class files, which could allow a Java application or applet to bypass Java sandbox restrictions (CVE-2014-4216, CVE-2014-4219)

  - A format string flaw was discovered in the Hotspot component event logger in OpenJDK, which could be leveraged by an untrusted Java application or applet to crash the Java Virtual Machine or execute arbitrary code with the privileges of the Java Virtual Machine (CVE-2014-2490)

  - Multiple improper permission check issues were discovered in the Libraries component in OpenJDK, which could be leveraged to bypass Java sandbox restrictions (CVE-2014-4223, CVE-2014-4262, CVE-2014-2483)

  - Multiple flaws were discovered in the JMX, Libraries, Security, and Serviceability components in OpenJDK that could be leveraged to bypass certain Java sandbox restrictions (CVE-2014-4209, CVE-2014-4218, CVE-2014-4221, CVE-2014-4252, CVE-2014-4266)

  - The RSA algorithm in the Security component in OpenJDK did not sufficiently perform blinding while performing operations that were using private keys, which could allow an attacker with the ability to measure timing differences of those operations to obtain information about the used keys (CVE-2014-4244)

  - Diffie-Hellman (DH) key exchange algorithm implementation in the Security component in OpenJDK failed to validate public DH parameters properly, which could result in an attacker recovering the negotiated key (CVE-2014-4263)

ID	Name	Product	Family	Published	Updated	Severity
77143	RHEL 7：java-1.7.1-ibm (RHSA-2014:1042)	Nessus	Red Hat Local Security Checks	8/12/2014	4/24/2024	high
76552	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 java-1.7.0-openjdk	Nessus	Scientific Linux Local Security Checks	7/17/2014	1/14/2021	high
76680	RHEL 5 / 6 / 7：java-1.6.0-openjdk (RHSA-2014:0907)	Nessus	Red Hat Local Security Checks	7/22/2014	1/14/2021	high
76689	Debian DSA-2980-1：openjdk-6 - 安全性更新	Nessus	Debian Local Security Checks	7/23/2014	1/11/2021	high
76998	SuSE 11.3 安全性更新：openjdk (SAT 修補程式編號 9543)	Nessus	SuSE Local Security Checks	8/5/2014	1/19/2021	critical
78330	Amazon Linux AMI：java-1.6.0-openjdk (ALAS-2014-387)	Nessus	Amazon Linux Local Security Checks	10/12/2014	4/18/2018	high
8332	Oracle Java Update (July 2014) Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	7/23/2014	3/6/2019	high

Detections

Analytics

Plugins Search

high

high

high

high

critical

high

high