Apache HTTP Server 是一款流行的 Web 服务器。

在 Apache HTTP Server 处理 Range HTTP 标头的方式中发现一个缺陷。远程攻击者可利用此缺陷，通过含有特别构建的 Range 标头的 HTTP 请求，导致 httpd 使用过量的内存和 CPU 时间。(CVE-2011-3192)

所有 httpd 用户应升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。安装更新后的程序包后，必须重新启动 httpd 后台程序才能使更新生效。

在 2D 组件的 medialib 库中发现输入验证缺陷。在处理特别构建的图像时，可触发 Java 虚拟机内存损坏。远程攻击者或不受信任的 Java 应用程序或小程序可能利用此缺陷，以运行 Java 虚拟机的用户的权限执行任意代码。(CVE-2014-0429)

在 OpenJDK 中的 Hotspot 和 2D 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷触发 Java 虚拟机内存损坏，并可能绕过 Java 沙盒限制。（CVE-2014-0456、CVE-2014-2397、CVE-2014-2421）

在 OpenJDK 的 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2014-0457、CVE-2014-0455、CVE-2014-0461）

在 OpenJDK 的 AWT、JAX- WS、JAXB、Libraries、Security、Sound 和 2D 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-2402、CVE-2014-0446、CVE-2014-2413、CVE-2014-0454、CVE-2014-2427、CVE-2014-0459）

在 Java 命名和目录接口 (JNDI) DNS 客户端发现多种缺陷。这些缺陷可使远程攻击者更容易发起 DNS 欺骗攻击。(CVE-2014-0460)

已发现当存在 SecurityManager 时，JAXP 组件没有正确阻止对任意文件的访问。该缺陷可导致使用 JAXP 的 Java 应用程序泄漏敏感信息，或影响应用程序的可用性。(CVE-2014-2403)

已发现当执行 PKCS#1 unpadding 时，OpenJDK 的 Security 组件可泄漏一些计时信息。这可能导致本应由加密保护的一些信息发生泄露。(CVE-2014-0453)

已发现针对 CVE-2013-5797 的补丁没有正确解决 javadoc 中的输入审查缺陷。当 javadoc 文档由不受信任的 Java 源代码生成并托管于不受代码作者控制的域时，这些问题可能更容易导致跨站脚本 (XSS) 攻击。
(CVE-2014-2398)

在 unpack200 实用工具创建日志文件的方式中，发现不安全的临时文件使用缺陷。本地攻击者可能利用此缺陷进行符号链接攻击，并以运行 unpack200 的用户的权限覆盖任意文件。(CVE-2014-1876)

在 2D 组件的 medialib 库中发现输入验证缺陷。在处理特别构建的图像时，可触发 Java 虚拟机内存损坏。远程攻击者或不受信任的 Java 应用程序或小程序可能利用此缺陷，以运行 Java 虚拟机的用户的权限执行任意代码。(CVE-2014-0429)

在 OpenJDK 中的 Hotspot 和 2D 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷触发 Java 虚拟机内存损坏，并可能绕过 Java 沙盒限制。（CVE-2014-0456、CVE-2014-2397、CVE-2014-2421）

在 OpenJDK 的 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2014-0457、CVE-2014-0461）

在 OpenJDK 的 AWT、JAX-WS、JAXB、Libraries 和 Sound 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-0446、CVE-2014-2427）

在 Java 命名和目录接口 (JNDI) DNS 客户端发现多种缺陷。这些缺陷可使远程攻击者更容易发起 DNS 欺骗攻击。(CVE-2014-0460)

已发现当存在 SecurityManager 时，JAXP 组件没有正确阻止对任意文件的访问。该缺陷可导致使用 JAXP 的 Java 应用程序泄漏敏感信息，或影响应用程序的可用性。(CVE-2014-2403)

已发现当执行 PKCS#1 unpadding 时，OpenJDK 的 Security 组件可泄漏一些计时信息。这可能导致本应由加密保护的一些信息发生泄露。(CVE-2014-0453)

已发现针对 CVE-2013-5797 的补丁没有正确解决 javadoc 中的输入审查缺陷。当 javadoc 文档由不受信任的 Java 源代码生成并托管于不受代码作者控制的域时，这些问题可能更容易导致跨站脚本 (XSS) 攻击。
(CVE-2014-2398)

在 unpack200 实用工具创建日志文件的方式中，发现不安全的临时文件使用缺陷。本地攻击者可能利用此缺陷进行符号链接攻击，并以运行 unpack200 的用户的权限覆盖任意文件。(CVE-2014-1876)

已发现 Xalan-Java 的安全处理功能对某些属性和功能定义的限制不足。
远程攻击者若能提供可扩展样式表语言转换 (XSLT) 内容供使用 Xalan-Java 的应用程序处理，便可利用此缺陷绕过安全处理功能的预期约束。根据类路径中可用的组件，可导致在运行使用 Xalan-Java 的应用程序的应用程序服务器上下文中执行任意远程代码。(CVE-2014-0107)

在 0.1.5 之前的 LibYAML 中，scanner.c 中的 yaml_parser_scan_tag_uri 函数执行错误转换，远程攻击者可利用此问题造成拒绝服务（应用程序崩溃），还可能通过 YAML 文档中构建的标签（触发基于堆的缓冲区溢出）执行任意代码。

在 0.1.6 版之前的 LibYAML 中，yaml_parser_scan_uri_escapes 函数中基于堆的缓冲区溢出允许上下文有关的攻击者通过 YAML 文件中 URI 的一长串百分比编码字符执行任意代码。

在 5.15 版之前的 file 中，magic/Magdir/commands 的 awk 脚本检测程序的 BEGIN 正则表达式使用多个无限重复的通配符，这允许上下文有关的攻击者通过可触发大量回溯的构建 ASCII 文件，造成拒绝服务（CPU 消耗），这一点已经由具有大量换行符的 file 证实。

7.36.0 之前的 cURL 和 libcurl 7.10.6 中的默认配置重复使用 (1) SCP、(2) SFTP、(3) POP3、(4) POP3S、(5) IMAP、(6) IMAPS、(7) SMTP、(8) SMTPS、(9) LDAP 和 (10) LDAPS 连接，这可允许上下文有关的攻击者通过请求以其他用户的身份连接，此问题类似于 CVE-2014-0015。

在 0.1.6 版之前的 LibYAML 中，yaml_parser_scan_uri_escapes 函数中基于堆的缓冲区溢出允许上下文有关的攻击者通过 YAML 文件中 URI 的一长串百分比编码字符执行任意代码。

由于 kernel 3.10.34-37 和 3.10.34-38 的配置问题及其与认证模块堆栈的交互，作为 openssh 程序包一部分的 sshd 后台程序在 sshd 服务重新启动之后不再允许远程登录。

在 OpenSSL 处理 TLS 心跳信息扩展数据包的方式中发现缺少边界检查。可利用此缺陷从连接的客户端或服务器泄漏最多 64k 的内存。

在 mod_dav_svn 模块处理 OPTIONS 请求的方式中发现缺陷。可读取通过 HTTP 提供的 SVN 存储库的远程攻击者，可利用此缺陷导致处理此类请求的 httpd 进程崩溃。

在低于 1.7.15 的 Apache Subversion 以及低于 1.8.6 的 Apache Subversion 1.8.x 中，mod_dav_svn 模块的 repos.c 中的 get_resource 函数在 SVNListParentPath 已启用时，允许远程攻击者通过与服务器根和请求方法（而不是 GET）有关的矢量造成拒绝服务（崩溃），这一点已由“svn ls http://svn.example.com”命令证实。

在 3.13.6 及之前版本的 Linux 内核中，net/sctp/sm_statefuns.c 中的 sctp_sf_do_5_1D_ce 函数在调用 sctp_sf_authenticate 之前未验证某些 auth_enable 和 auth_capable 字段，这允许远程攻击者通过与 COOKIE_ECHO 区块前面修改的 INIT 区块和构建的 AUTH 区块进行 SCTP 握手，造成拒绝服务（空指针取消引用和系统崩溃）。

已发现 ICMP-MIB 实现中的 decode_icmp_msg() 函数在处理 /proc/net/snmp 文件中报告的 Internet 控制消息协议 (ICMP) 消息统计数据的方式中存在缓冲区溢出缺陷。远程攻击者可为每种 ICMP 消息类型发送一条消息，这可能导致 snmpd 服务在处理 /proc/net/snmp 文件时崩溃。(CVE-2014-2284)

yum 3.4.3 和较早版本中 yum-cron/yum-cron.py 的 installUpdates 函数未正确检查 sigCheckPkg 函数的返回值，这可允许远程攻击者通过未签署的程序包绕过 RMP 程序包签署限制。

在文件信息 (fileinfo) 扩展处理间接规则的方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷导致使用 fileinfo 的 PHP 应用程序崩溃或过度消耗 CPU。

5.5.9 之前的 PHP 5.5.x 中的 ext/gd/gd.c 的 gdImageCrop 函数不检查返回值，这允许远程攻击者通过导致使用空指针作为返回值的无效的 imagecrop 参数造成拒绝服务（应用程序崩溃）或者可能造成其他不明影响，此漏洞与 CVE-2013-7226 不同。

在文件信息 (fileinfo) 扩展处理间接规则的方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷导致使用 fileinfo 的 PHP 应用程序崩溃或过度消耗 CPU。

Apache Commons FileUpload 1.3.1 之前版本中的 MultipartStream.java，在用于 Apache Tomcat、JBoss Web 及其他产品时，允许远程攻击者通过构建的 Content-Type 标头绕过循环的预期退出条件，从而造成拒绝服务（无限循环和 CPU 消耗）。

已发现 389 目录服务器未正确处理某些基于 SASL 的认证机制。能够使用这些 SASL 机制向目录认证的用户可连接为任何其他目录用户，包括管理性目录管理器帐户。这可允许他们修改配置值，以及读取和写入目录中的任何数据。

在 mutt 处理某些电子邮件标头的方式中发现一个基于堆的缓冲区溢出缺陷。远程攻击者可利用此缺陷发送包含特别构建的标头的电子邮件，处理该电子邮件时，可导致 mutt 崩溃，或者可能以运行 mutt 的用户权限执行任意代码。(CVE-2014-0467)

2.4.8 之前版本的 Apache HTTP Server 的 mod_log_config 模块中的 mod_log_config.c 内的 log_cookie 函数允许远程攻击者通过构建的在截断期间未正确处理的 Cookie 造成拒绝服务（分段错误和后台程序崩溃）。

在 1.4.7 之前的 nginx 1.3.15 以及 1.5.12 之前的 nginx 1.5.x 中，SPDY 实现中存在基于堆的缓冲区溢出，允许远程攻击者通过构建的请求执行任意代码。

在对 perf_swevent_enabled 数组的索引进行审查的方式中发现一个缺陷。本地非特权用户可利用此缺陷在系统上获得权限提升。

发现 tiff2pdf 工具中存在一个基于堆的缓冲区溢出和释放后使用缺陷。攻击者可利用这些缺陷创建特别构建的 TIFF 文件，可导致 tiff2pdf 崩溃或可能执行任意代码。（CVE-2013-1960、CVE-2013-4232）

在 gif2tiff 工具中发现多种缓冲区溢出缺陷。攻击者可利用这些缺陷创建特别构建的 GIF 文件，可导致 gif2tiff 崩溃或可能执行任意代码。（CVE-2013-4231、CVE-2013-4243、CVE-2013-4244）

在 libtiff 处理 OJPEG 编码的 TIFF 图像的方式中发现一个缺陷。
攻击者可利用此缺陷创建特别构建的 TIFF 文件，会导致使用 libtiff 的应用程序崩溃。
(CVE-2010-2596)

在 tiff2pdf 工具中发现多种缓冲区溢出缺陷。攻击者可利用这些缺陷创建特别构建的 TIFF 文件，会导致 tiff2pdf 崩溃。(CVE-2013-1961)

在 PostgreSQL 的日期/时间实现中发现多种基于堆栈的缓冲区溢出缺陷。经过认证的数据库用户可提供特别构建的日期/时间值，处理该值时可导致 PostgreSQL 崩溃，或者可能以运行 PostgreSQL 的用户的权限执行任意代码。
(CVE-2014-0063)

发现 PostgreSQL 的多种类型输入函数中存在多种整数溢出缺陷，可导致基于堆的缓冲区溢出。
经过身份验证的数据库用户可能利用这些缺陷导致 PostgreSQL 崩溃，或者可能以运行 PostgreSQL 的用户的权限执行任意代码。(CVE-2014-0064)

在 PostgreSQL 中发现多种潜在缓冲区溢出缺陷。经过身份验证的数据库用户可能利用这些缺陷导致 PostgreSQL 崩溃，或者可能以运行 PostgreSQL 的用户的权限执行任意代码。(CVE-2014-0065)

已发现向 PostgreSQL 数据库中的数据库用户授予 SQL 角色而不指定“ADMIN”选项时，可允许被授予者从其被授予角色删除其他用户。经过身份验证的数据库用户可利用此缺陷，从其被授予访问权限的 SQL 角色中删除用户。(CVE-2014-0060)

在 PostgreSQL 的过程语言 (PL) 提供的验证器函数中发现一个缺陷。经过身份验证的数据库用户可能利用此缺陷升级其权限。(CVE-2014-0061)

在 CREATE INDEX 命令对必须编制索引的表格执行多种独立查找的方式中发现争用条件。经过身份验证的数据库用户可能利用此缺陷升级其权限。(CVE-2014-0062)

已发现 PostgreSQL 的 chkpass 扩展不检查 crypt() 函数的返回值。经过身份验证的数据库用户可能利用此缺陷通过空指针取消引用使 PostgreSQL 崩溃。(CVE-2014-0066)

5.17 之前的 Fine Free file 允许上下文有关的攻击者通过 file 的 magic 中构建的间接偏移值来造成拒绝服务（无限递归、CPU 消耗和崩溃）。

在 Openswan 的 IKE 后台程序处理 IKEv2 负载的方式中发现空指针取消引用缺陷。远程攻击者可发送特别构建的 IKEv2 负载，在处理过程中可导致拒绝服务（后台程序崩溃），或者可能导致现有的 VPN 连接被丢弃。(CVE-2013-6466)

f2py 对临时文件的使用方式不安全。本地攻击者可利用此缺陷执行符号链接攻击，以修改运行 f2py 的用户可以访问的任意文件。

已发现 GnuTLS 未正确处理某些在 X.509 证书验证期间可能发生的错误，导致其错误报告成功的验证。攻击者可利用此缺陷创建特别构建的证书，可被 GnuTLS 接受为对攻击者所选站点有效的证书。(CVE-2014-0092)

socat 1.3.0.0 到 1.7.2.2 以及 2.0.0-b1 到 2.0.0-b6 版本中存在基于堆栈的缓冲区溢出，其允许本地用户通过命令行中 PROXY-CONNECT 地址中的长服务器名造成拒绝服务（分段错误）。

远程攻击者可利用低于 1.4.33 的 lighttpd 中的释放后使用漏洞，通过可触发 FAMMonitorDirectory 失败的不明矢量造成拒绝服务（分段错误和崩溃）。

当启用了 SNI 时，低于 1.4.34 的 lighttpd 将配置弱 SSL 密码，这使远程攻击者可通过在客户端-服务器数据流中插入数据包更轻松地劫持会话，或通过嗅探网络更轻松地获取敏感信息。

低于 1.4.33 的 lighttpd 未检查 (1) setuid、(2) setgid 或 (3) setgroups 函数的返回值，这可能造成 lighttpd 在重新启动时以根用户身份运行，并允许远程攻击者获取权限，这一点已通过对达到用户进程限制时可导致 setuid 失败的 clone 函数的多种调用证实。

此更新修复了 MySQL 数据库服务器中的多个漏洞。（CVE-2014-0386、CVE-2014-0393、CVE-2014-0401、CVE-2014-0402、CVE-2014-0412、CVE-2014-0437、CVE-2013-5908）

在 MySQL 命令行客户端工具 (mysql) 处理超长版本字符串的方式中，发现一个缓冲区溢出缺陷。如果用户通过 mysql 客户端连接到恶意的 MySQL 服务器，则该服务器可利用此缺陷使 mysql 客户端崩溃，或者可能以运行 mysql 客户端的用户的身份执行任意代码。
(CVE-2014-0001)

在 Graphviz 2.34.0 的 lib/cgraph/scan.l 中，chkNum 函数中基于堆栈的缓冲区溢出允许远程攻击者通过与“错误格式编号”及“长数字列表”相关的矢量造成不明影响。

在 Graphviz 2.34.0 的 lib/cgraph/scan.l 中，yyerror 函数中基于堆栈的缓冲区溢出允许远程攻击者通过 dot 文件中的长行产生不明影响。

Graphviz 最近报告受到缓冲区溢出漏洞的影响，此漏洞似乎是在 CVE-2014-0978 的补丁中引入的。

- 启用了多种认证方法时，7.10.6 到 7.34.0 的 cURL 和 libcurl 会重用 NTLM 连接，这样可能允许上下文有关的攻击者通过请求来认证为其他用户。

OpenLDAP 2.4.23、2.4.36 和较早版本的 rwm 叠加未正确计数引用，这允许远程攻击者通过在搜索请求后立即取消绑定来造成拒绝服务（slapd 崩溃），从而触发 rwm_conn_destroy 释放 rwm_op_search 正在使用的会话上下文。

在 Python 2.7.7 之前的 2.5 中、3.3.4 之前的 3.x 中以及 3.4rc1 之前的 3.4.x 中，Modules/socketmodule.c 中的 socket.recvfrom_into 函数中的缓冲区溢出允许远程攻击者通过构建的字符串执行任意代码。

在 0.1.5 之前的 LibYAML 中，scanner.c 中的 yaml_parser_scan_tag_uri 函数执行错误转换，远程攻击者可利用此问题造成拒绝服务（应用程序崩溃），还可能通过 YAML 文档中构建的标签（触发基于堆的缓冲区溢出）执行任意代码。

lib/rubygems/version.rb 的 Gem: : Version: : ANCHORED_VERSION_PATTERN（1.8.23.2 之前的 RubyGems 版本、1.8.24 到 1.8.26、2.0.10 之前的 2.0.x 版本以及 2.1.5 之前的 2.1.x 版本的 lib/rubygems/version.rb 中）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。注意：此问题的原因是对 CVE-2013-4287 的修复不完整。

在 3.12.4 之前版本的 Linux 内核中，net/phonet/datagram.c 中的 pn_recvmsg 函数在确认相关数据结构已初始化前会更新特定长度值，从而允许本地用户通过 (1) recvfrom、(2) recvmmsg 或 (3) recvmsg 系统调用，从内核堆栈内存中获取敏感信息。

3.13.4 之前版本的 Linux 内核的 security/selinux/ss/services.c 中的 security_context_to_sid_core 函数允许本地用户利用 CAP_MAC_ADMIN 功能来设置零长度的安全环境，从而造成拒绝服务（系统崩溃）。

3.12.4 之前版本的 Linux 内核在确保已初始化相关数据结构之前会更新某些长度值，这允许本地用户通过与 net/ipv4/ping.c、net/ipv4/raw.c、net/ipv4/udp.c、net/ipv6/raw.c 和 net/ipv6/udp.c 相关的 (1) recvfrom、(2) recvmmsg 或 (3) recvmsg 系统调用从内核堆栈内存中获取敏感信息。

在 3.13.5 版和之前版本的 Linux 内核中，fs/cifs/file.c 的 cifs_iovec_write 函数未正确处理未缓存的写入操作，该操作复制的字节数少于要求的字节数，从而允许本地用户从内核内存获取敏感信息，进而造成拒绝服务（内存损坏和系统崩溃），或者可能通过具有构建指针的 writev 系统调用获取权限。

低于 3.3.3 的 Puppet 和低于 3.4.1 的 Puppet 3.4 以及低于 2.8.4 的 Puppet Enterprise (PE) 和低于 3.1.1 的 Puppet Enterprise 3.1 允许本地用户通过对不明文件的符号链接攻击来覆盖任意文件。

在 BIND 处理针对 NSEC3 签名区域的查询的方式中发现拒绝服务缺陷。远程攻击者可通过发送特别构建的查询，在服务于 NCES3 签名区域的授权名称服务器中利用此缺陷，当处理该查询时，将导致 named 崩溃。(CVE-2014-0591)

当创建新的配置文件时，在 Augeas 处理某些 umask 设置的方式中发现一个缺陷。此缺陷可导致所创建的配置文件为全局可写文件，从而允许本地非特权用户修改其内容。(CVE-2013-6412)

在 Graphviz 2.34.0 的 lib/cgraph/scan.l 中，yyerror 函数中基于堆栈的缓冲区溢出允许远程攻击者通过 dot 文件中的长行产生不明影响。

在 2D 组件的字体布局引擎中发现输入验证缺陷。特别构建的字体文件在处理时可触发 Java 虚拟机内存损坏。不受信任的 Java 应用程序或小程序可能利用此缺陷绕过 Java 沙盒限制。(CVE-2013-5907)

在 OpenJDK 的 CORBA 和 JNDI 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2014-0428、CVE-2014-0422）

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368）

已发现 Beans 组件未对 XML 外部实体的处理进行限制。此缺陷可导致使用 Beans 的 Java 应用程序泄漏敏感信息，或影响应用程序的可用性。(CVE-2014-0423)

已发现 JSSE 组件可在 TLS/SSL 握手期间泄漏定时信息。这可能导致泄露所使用加密密钥的信息。
(CVE-2014-0411)

在 libXfont 库解析字形位图分发格式 (BDF) 字体的方式中发现基于堆栈的缓冲区溢出缺陷。恶意的本地用户可利用此问题，可能以 X.Org 服务器的权限执行任意代码。
(CVE-2013-6462)

已发现附属证书颁发机构 (CA) 错误发布中间证书，该证书可用于执行中间人攻击。此更新将该特定中间证书显示为不受信任。

在 2D 组件的字体布局引擎中发现输入验证缺陷。特别构建的字体文件在处理时可触发 Java 虚拟机内存损坏。不受信任的 Java 应用程序或小程序可能利用此缺陷绕过 Java 沙盒限制。(CVE-2013-5907)

在 OpenJDK 的 CORBA、JNDI 和 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。（CVE-2014-0428、CVE-2014-0422、CVE-2013-5893）

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368）

已发现 Beans 组件未对 XML 外部实体的处理进行限制。此缺陷可导致使用 Beans 的 Java 应用程序泄漏敏感信息，或影响应用程序的可用性。(CVE-2014-0423)

已发现 JSSE 组件可在 TLS/SSL 握手期间泄漏定时信息。这可能导致泄露所使用加密密钥的信息。
(CVE-2014-0411)

ID	名称	严重性
78262	Amazon Linux AMI：httpd (ALAS-2011-1)	high
73655	Amazon Linux AMI：java-1.7.0-openjdk (ALAS-2014-327)	critical
73654	Amazon Linux AMI：java-1.6.0-openjdk (ALAS-2014-326)	critical
73653	Amazon Linux AMI：xalan-j2 (ALAS-2014-325)	high
73652	Amazon Linux AMI：perl-YAML-LibYAML (ALAS-2014-324)	medium
73651	Amazon Linux AMI：file (ALAS-2014-323)	medium
73650	Amazon Linux AMI：curl (ALAS-2014-322)	medium
73649	Amazon Linux AMI：libyaml (ALAS-2014-321)	medium
73569	Amazon Linux AMI 更新：kernel / openssh 拒绝服务 (ALAS-2014-319)	medium
73438	Amazon Linux AMI：openssl 信息泄露漏洞 (ALAS-2014-320)	high
73237	Amazon Linux AMI：subversion (ALAS-2014-318)	medium
73236	Amazon Linux AMI：内核 (ALAS-2014-317)	high
73235	Amazon Linux AMI：net-snmp (ALAS-2014-316)	medium
73234	Amazon Linux AMI：yum (ALAS-2014-315)	medium
73233	Amazon Linux AMI：php55 (ALAS-2014-314)	medium
73232	Amazon Linux AMI：php54 (ALAS-2014-313)	medium
73231	Amazon Linux AMI：tomcat7 (ALAS-2014-312)	high
73230	Amazon Linux AMI：389-ds-base (ALAS-2014-311)	medium
73229	Amazon Linux AMI：mutt (ALAS-2014-310)	medium
73228	Amazon Linux AMI：httpd24 (ALAS-2014-309)	medium
73227	Amazon Linux AMI：nginx (ALAS-2014-308)	medium
73126	Amazon Linux AMI：内核权限升级 (ALAS-2013-190)	high
73061	Amazon Linux AMI：libtiff (ALAS-2014-307)	high
73060	Amazon Linux AMI：postgresql9 (ALAS-2014-306)	medium
73059	Amazon Linux AMI：postgresql8 (ALAS-2014-305)	medium
73058	Amazon Linux AMI：file (ALAS-2014-304)	medium
72951	Amazon Linux AMI：openswan (ALAS-2014-303)	medium
72950	Amazon Linux AMI：numpy (ALAS-2014-302)	medium
72949	Amazon Linux AMI：gnutls (ALAS-2014-301)	medium
72948	Amazon Linux AMI：socat (ALAS-2014-300)	low
72947	Amazon Linux AMI：lighttpd (ALAS-2014-299)	high
72946	Amazon Linux AMI：mysql51 (ALAS-2014-298)	high
72945	Amazon Linux AMI：graphviz-php (ALAS-2014-297)	high
72944	Amazon Linux AMI：graphviz (ALAS-2014-296)	high
72751	Amazon Linux AMI：curl (ALAS-2014-295)	medium
72750	Amazon Linux AMI：openldap (ALAS-2014-294)	medium
72749	Amazon Linux AMI：python27 (ALAS-2014-293)	high
72748	Amazon Linux AMI：python26 (ALAS-2014-292)	high
72747	Amazon Linux AMI：libyaml (ALAS-2014-291)	medium
72746	Amazon Linux AMI：ruby19 (ALAS-2014-290)	medium
72745	Amazon Linux AMI：内核 (ALAS-2014-289)	high
72306	Amazon Linux AMI：puppet (ALAS-2014-288)	low
72305	Amazon Linux AMI：bind (ALAS-2014-287)	low
72304	Amazon Linux AMI：augeas (ALAS-2014-286)	medium
72303	Amazon Linux AMI：graphviz-php (ALAS-2014-285)	high
72302	Amazon Linux AMI：graphviz (ALAS-2014-284)	high
72301	Amazon Linux AMI：java-1.6.0-openjdk (ALAS-2014-283)	critical
72300	Amazon Linux AMI：libXfont (ALAS-2014-282)	high
72299	Amazon Linux AMI：ca-certificates (ALAS-2014-281)	high
72298	Amazon Linux AMI：java-1.7.0-openjdk (ALAS-2014-280)	critical

检测

Nessus 的 Amazon Linux Local Security Checks 系列

high

critical

critical

high

medium

medium

medium

medium

medium

high

medium

high

medium

medium

medium

medium

high

medium

medium

medium

medium

high

high

medium

medium

medium

medium

medium

medium

low

high

high

high

high

medium

medium

high

high

medium

medium

high

low

low

medium

high

high

critical

high

high

critical