远程 Scientific Linux 7 主机上安装的程序包受到 SLSA-2022: 0306-1 公告中提及的多个漏洞影响。

  - OpenJDK：ObjectInputStream 未完整过滤反序列化类 (Serialization, 8264934) (CVE-2022-21248)

  - OpenJDK：XSLT TransformerImpl 未充分检查 URI (JAXP, 8270492) (CVE-2022-21282)

  - OpenJDK：regex 模式下抛出意外异常 (Libraries, 8268813) (CVE-2022-21283)

  - OpenJDK：反序列化期间未完整检查 StringBuffer 和 StringBuilder (Libraries, 8270392) (CVE-2022-21293)

  - OpenJDK：反序列化期间未正确检查 IdentityHashMap 大小 (Libraries, 8270416) (CVE-2022-21294)

  - OpenJDK：XMLEntityManager 未正确检查访问权限 (JAXP, 8270498) (CVE-2022-21296)

  - OpenJDK：因 XMLEntityScanner 未正确处理换行符而造成无限循环 (JAXP, 8270646) (CVE-2022-21299)

  - OpenJDK：LIRGenerator 中存在数组索引问题 (Hotspot, 8272014) (CVE-2022-21305)

  - OpenJDK：读取 JAR 清单属性时过量使用资源问题 (Libraries, 8272026) (CVE-2022-21340)

  - OpenJDK：ObjectInputStream 在反序列化异常期间未进行充分检查 (Serialization, 8272236) (CVE-2022-21341)

  - OpenJDK：BMPImageReader 中分配的内存过多 (ImageIO, 8273756) (CVE-2022-21360)

  - OpenJDK：BMPImageReader 中存在整数溢出 (ImageIO, 8273838) (CVE-2022-21365)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Scientific Linux 安全更新：SL7.x i686/x86_64 上的 java-1.8.0-openjdk (2022:0306)

medium Nessus 插件 ID 157227

未找到依赖项