安全修复：- 在 OpenJDK 的组件 RMI 和 Hotspot 中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷完全绕过 Java 沙盒限制。(CVE-2017-10285, CVE-2017-10346) - 已发现 OpenJDK 的组件 Libraries 中 Kerberos 客户端的实现使用出自明文部分的 sname 字段，而非 KDC 回复消息的加密部分。中间人攻击者可利用此缺陷将 Kerberos 服务模拟到 Java应用程序充当 Kerberos 客户端。(CVE-2017-10388) - 已发现 OpenJDK 的安全组件生成的以密码为基础、用以保护储存在 keystore 中的私钥的加密密钥较弱。攻击者如果能够访问 keystore，就可以轻松执行密码猜测攻击，来解密存储的密钥。(CVE-2017-10356) - 在 OpenJDK 的 Smart Card IO 组件和安全组件内发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。(CVE-2017-10274, CVE-2017-10193) - 已发现 OpenJDK 的组件 Networking 中，FtpClient 实现默认没有设置连接且读取超时。恶意 FTP 服务器或中间人攻击者可利用此缺陷，阻止连接到 FTP 服务器的 Java 应用程序的执行。(CVE-2017-10355) - 已发现 OpenJDK 的组件 Networking 中的 HttpURLConnection 和 HttpsURLConnection 类没有检查 URL 中嵌入的换行符。能够通过攻击者提供的 URL 使 Java 应用程序执行 HTTP 请求的攻击者，可能会向请求中注入额外的标头。(CVE-2017-10295) - 已发现 OpenJDK 的安全组件可能无法正确执行为处理 X.509 证书链而定义的限制。远程攻击者可利用此缺陷，通过禁用的算法之一使 Java 接受证书。(CVE-2017-10198) - 已发现 OpenJDK 的组件 JAXP、Serialization、Libraries 和 JAX-WS 中的多个类，在从序列化表单中创建对象实例时未限制分配的内存数量。特制的输入可造成 Java 应用程序在反序列化时使用过量内存。(CVE-2017-10349, CVE-2017-10357, CVE-2017-10347, CVE-2017-10281, CVE-2017-10345, CVE-2017-10348, CVE-2017-10350) 漏洞修复：- 此前，OpenJDK 无法处理内核在读取时被阻止的情况，即使轮询套接字表示可以读取。因此，OpenJDK 可能会无限期地挂起。此更新使 OpenJDK 会在有超时的条件下进行轮询，并在成功时执行非阻塞读取，在所述情况下不再挂起。

检测

Scientific Linux 安全更新：SL6.x、SL7.x i386/x86_64 中的 java-1.7.0-openjdk

critical Nessus 插件 ID 105071

版本 3.8