安全修复：- 在 OpenJDK 的组件 RMI 和 Hotspot 中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷完全绕过 Java 沙盒限制。(CVE-2017-10285, CVE-2017-10346) - 已发现 OpenJDK 的组件 Libraries 中 Kerberos 客户端的实现使用出自明文部分的 sname 字段，而非 KDC 回复消息的加密部分。中间人攻击者可利用此缺陷将 Kerberos 服务模拟到 Java应用程序充当 Kerberos 客户端。(CVE-2017-10388) - 已发现 OpenJDK 的安全组件生成的以密码为基础、用以保护储存在 keystore 中的私钥的加密密钥较弱。攻击者如果能够访问 keystore，就可以轻松执行密码猜测攻击，来解密存储的密钥。(CVE-2017-10356) - 在 OpenJDK 的组件 Smart Card IO 中发现缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。(CVE-2017-10274) - 已发现 OpenJDK 的组件 Networking 中，FtpClient 实现默认没有设置连接且读取超时。恶意 FTP 服务器或中间人攻击者可利用此缺陷，阻止连接到 FTP 服务器的 Java 应用程序的执行。(CVE-2017-10355) - 已发现 OpenJDK 的组件 Networking 中的 HttpURLConnection 和 HttpsURLConnection 类没有检查 URL 中嵌入的换行符。能够通过攻击者提供的 URL 使 Java 应用程序执行 HTTP 请求的攻击者，可能会向请求中注入额外的标头。(CVE-2017-10295) - 已发现 OpenJDK 的组件 JAXP、Serialization、Libraries 和 JAX-WS 中的多个类，在从序列化表单中创建对象实例时未限制分配的内存数量。特制的输入可造成 Java 应用程序在反序列化时使用过量内存。(CVE-2017-10349, CVE-2017-10357, CVE-2017-10347, CVE-2017-10281, CVE-2017-10345, CVE-2017-10348, CVE-2017-10350) 注意：安装由 icedtea-web 程序包提供的网页浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在不与用户交互的情况下被利用。

检测

Scientific Linux 安全更新：SL6.x、SL7.x i386/x86_64 中的 java-1.8.0-openjdk

critical Nessus 插件 ID 104093

版本 3.10