更新后的 java-1.6.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.6.0-openjdk 程序包提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Java 软件开发工具包。

在 OpenJDK 的 AWT 组件的 JPEG 图像格式解码器中发现一个越界写入缺陷。特别构建的 JPEG 图像可造成 Java 应用程序崩溃，或可能执行任意代码。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2016-0483)

在 OpenJDK 的 2D 组件中，字体解析代码存在一个整数符号问题。特别构建的字体文件可能造成 Java 虚拟机执行任意代码，从而允许不受信任的 Java 应用程序或小程序绕过 Java 沙盒限制。(CVE-2016-0494)

已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。
(CVE-2016-0466)

在 OpenJDK 的 Networking 和 JMX 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2016-0402、CVE-2016-0448）

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

建议所有 java-1.6.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

检测

CentOS 5 / 6 / 7：java-1.6.0-openjdk (CESA-2016:0067)

critical Nessus 插件 ID 88386

未找到变更日志