RHEL 6 : java-1.6.0-openjdk (RHSA-2013:1505)
medium Nessus 插件 ID 70771
语言：
简介
远程 Red Hat 主机缺少一个或多个 java-1.6.0-openjdk. 的安全更新描述
远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:1505 公告中提及的多个漏洞的影响。java-1.6.0-openjdk 程序包提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Java 软件开发工具包。
在 2D 组件原生图像解析代码中发现多种输入检查缺陷。特制的图像文件可触发 Java 虚拟机内存损坏并可能导致以运行 Java 虚拟机的用户权限执行任意代码。
(CVE-2013-5782)
类装载器未正确检查对非公共代理类的程序包访问。远程攻击者可能利用此缺陷以运行 Java 虚拟机的用户的权限执行任意代码。(CVE-2013-5830)
在 OpenJDK 的 2D、CORBA、JNDI 和 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2013-5829、CVE-2013-5814、CVE-2013-5817、CVE-2013-5842、CVE-2013-5850）
在 2D 组件的 JPEG 图像读取和写入代码中发现多种输入检查缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷损坏 Java 虚拟机内存并绕过 Java 沙盒限制。(CVE-2013-5809)
javax.xml.transform 程序包转换器未正确遵守 FEATURE_SECURE_PROCESSING 设置。远程攻击者可利用此缺陷提供构建的、将在无预期安全限制的情况下得到处理的 XML。(CVE-2013-5802)
在 JAXP 和 Security 组件处理 XML 输入的方式中发现多种错误。远程攻击者可创建构建的 XML，得到处理后将导致 Java 应用程序使用过量 CPU 和内存。（CVE-2013-5825、CVE-2013-4002、CVE-2013-5823）
在 OpenJDK 的 Libraries、Swing、JAX-WS、JGSS、AWT、Beans 和 Scripting 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2013-3829、CVE-2013-5840、CVE-2013-5774、CVE-2013-5783、CVE-2013-5820、CVE-2013-5849、CVE-2013-5790、CVE-2013-5784）
已发现当执行图像转换时，2D 组件图像库未正确检查边界。不受信任的 Java 应用程序或小程序可利用此缺陷泄露 Java 虚拟机的部分内存。(CVE-2013-5778)
在 javadoc 中发现多种输入审查缺陷。当 javadoc 文档由不受信任的 Java 源代码生成并托管于不受代码作者控制的域时，这些问题可能更容易导致跨站脚本攻击。（CVE-2013-5804、CVE-2013-5797）
代表加密密钥的各种 OpenJDK 类可通过向 toString() 方法返回的字符串中添加敏感数据，泄漏私钥信息。这些缺陷可能导致意外暴露敏感密钥数据。(CVE-2013-5780)
Java Heap Analysis Tool (jhat) 无法正确转义添加到所生成 HTML 页面的所有数据。使用 jhat 分析的 Java 程序的内存中构建的内容可能会被用于进行跨站脚本攻击。(CVE-2013-5772)
OpenJDK 的 Kerberos 实现未正确解析 KDC 响应。畸形数据包可导致使用 JGSS 的 Java 应用程序退出。(CVE-2013-5803)
建议所有 java-1.6.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，更新才能生效。
Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
请根据 RHSA-2013:1505 中的指南更新 RHEL java-1.6.0-openjdk 程序包。另见
http://www.nessus.org/u?e0d41572
https://access.redhat.com/errata/RHSA-2013:1505
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=1018713
https://bugzilla.redhat.com/show_bug.cgi?id=1018717
https://bugzilla.redhat.com/show_bug.cgi?id=1018720
https://bugzilla.redhat.com/show_bug.cgi?id=1018727
https://bugzilla.redhat.com/show_bug.cgi?id=1018736
https://bugzilla.redhat.com/show_bug.cgi?id=1018750
https://bugzilla.redhat.com/show_bug.cgi?id=1018785
https://bugzilla.redhat.com/show_bug.cgi?id=1018831
https://bugzilla.redhat.com/show_bug.cgi?id=1018972
https://bugzilla.redhat.com/show_bug.cgi?id=1018984
https://bugzilla.redhat.com/show_bug.cgi?id=1019108
https://bugzilla.redhat.com/show_bug.cgi?id=1019110
https://bugzilla.redhat.com/show_bug.cgi?id=1019113
https://bugzilla.redhat.com/show_bug.cgi?id=1019115
https://bugzilla.redhat.com/show_bug.cgi?id=1019117
https://bugzilla.redhat.com/show_bug.cgi?id=1019118
https://bugzilla.redhat.com/show_bug.cgi?id=1019123
https://bugzilla.redhat.com/show_bug.cgi?id=1019127
https://bugzilla.redhat.com/show_bug.cgi?id=1019130
https://bugzilla.redhat.com/show_bug.cgi?id=1019131
https://bugzilla.redhat.com/show_bug.cgi?id=1019133
https://bugzilla.redhat.com/show_bug.cgi?id=1019137
https://bugzilla.redhat.com/show_bug.cgi?id=1019139
https://bugzilla.redhat.com/show_bug.cgi?id=1019145
插件详情
严重性: Medium
ID: 70771
文件名: redhat-RHSA-2013-1505.nasl
版本: 1.16
类型: local
代理: unix
发布时间: 2013/11/6
最近更新时间: 2025/4/15
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.0
Vendor
Vendor Severity: Important
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2013-5842
CVSS v3
风险因素: Medium
基本分数: 5.3
时间分数: 4.6
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2013-4002
漏洞信息
CPE: cpe:/o:redhat:enterprise_linux:5, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:java-1.6.0-openjdk, p-cpe:/a:redhat:enterprise_linux:java-1.6.0-openjdk-javadoc, p-cpe:/a:redhat:enterprise_linux:java-1.6.0-openjdk-devel, p-cpe:/a:redhat:enterprise_linux:java-1.6.0-openjdk-demo, p-cpe:/a:redhat:enterprise_linux:java-1.6.0-openjdk-src
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2013/11/5
漏洞发布日期: 2013/7/23
参考资料信息
CVE: CVE-2013-3829, CVE-2013-4002, CVE-2013-5772, CVE-2013-5774, CVE-2013-5778, CVE-2013-5780, CVE-2013-5782, CVE-2013-5783, CVE-2013-5784, CVE-2013-5790, CVE-2013-5797, CVE-2013-5802, CVE-2013-5803, CVE-2013-5804, CVE-2013-5809, CVE-2013-5814, CVE-2013-5817, CVE-2013-5820, CVE-2013-5823, CVE-2013-5825, CVE-2013-5829, CVE-2013-5830, CVE-2013-5840, CVE-2013-5842, CVE-2013-5849, CVE-2013-5850