httpd 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。httpd 程序包提供 Apache HTTP Server（一款强大、高效、可扩展的 Web 服务器）。安全修复：* 已发现 httpd 中的 HTTP 分析器错误地允许 HTTP 协议规范不允许以未编码形式显示在 HTTP 请求标头中的特定字符。如果 httpd 与以不同方式解释这些字符的代理或后端服务器一起使用，则远程攻击者可能会利用此缺陷将数据注入 HTTP 响应，从而导致代理缓存侵害。(CVE-2016-8743) 注意：针对 CVE-2016-8743 问题的修复导致 httpd 将 ‘400 Bad Request’ 错误返回未严格遵守 HTTP 协议规范的 HTTP 客户端。新引入的配置指令 ‘HttpProtocolOptions Unsafe’ 可用于重新启用不太严格的旧版解析。然而，此类设置也会重新引发 CVE-2016-8743 问题。注意：Red Hat Satellite 5 和 Red Hat Satellite Proxy 5 系统管理员应在安装此更新之前，参阅“参考”部分中链接的 Red Hat 知识库文章 3013361。缺陷补丁：* 此前，httpd 无法正确地检查数组边界，并且在少数情况下，会尝试访问越界数组元素。因此，httpd 意外终止并出现 proxy_util.c 分段错误。此更新已修复边界检查，并且 httpd 不会再崩溃。(BZ#1463354)

qemu-kvm 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。基于内核的虚拟机 (KVM) 是针对多种架构上 Linux 的完全虚拟化解决方案。qemu-kvm 程序包提供了用户空间组件，用于运行使用 KVM 的虚拟机。安全修复：* 置有网络块设备 (NBD) 服务器支持的快速仿真器 (QEMU) 容易发生空指针取消引用问题。由于协商失败，发行的客户端未初始化时，会发生此缺陷。远程用户或进程可利用此缺陷使 qemu-nbd 服务器崩溃（拒绝服务）。(CVE-2017-9524)

bind 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)；一个解析器库（与 DNS 接合时供应用程序使用的例程）；以及用于验证 DNS 服务器是否正常运行的工具。安全修复：在 BIND 处理 TSIG 认证以进行动态更新的方式中发现缺陷。可与授权 BIND 服务器通信的远程攻击者会利用此缺陷，通过针对动态更新请求伪造有效的 TSIG 或 SIG(0) 签名，来操纵一个区域的内容。(CVE-2017-3143) * 在 BIND 处理 TSIG 认证 AXFR 请求的方式中发现缺陷。可与授权 BIND 服务器通信的远程攻击者，会通过发送特制的请求数据包，利用此缺陷查看一个区域的全部内容。(CVE-2017-3142) Red Hat 在此感谢 Internet Systems Consortium 报告这些问题。上游感谢这些问题的原始报告者 Clement Berthaux (Synacktiv)。缺陷补丁：* ICANN 预计在 2017 年 10 月执行根区 DNSSEC 密钥签名密钥 (KSK) 滚动更新。通过添加新的根区 KSK 以维护最新 KSK，是确保验证 DNS 解析器继续跟随滚动更新运行的关键。(BZ#1459649)

bind 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)；一个解析器库（与 DNS 接合时供应用程序使用的例程）；以及用于验证 DNS 服务器是否正常运行的工具。安全修复：在 BIND 处理 TSIG 认证以进行动态更新的方式中发现缺陷。可与授权 BIND 服务器通信的远程攻击者会利用此缺陷，通过针对动态更新请求伪造有效的 TSIG 或 SIG(0) 签名，来操纵一个区域的内容。(CVE-2017-3143) * 在 BIND 处理 TSIG 认证 AXFR 请求的方式中发现缺陷。可与授权 BIND 服务器通信的远程攻击者，会通过发送特制的请求数据包，利用此缺陷查看一个区域的全部内容。(CVE-2017-3142) Red Hat 在此感谢 Internet Systems Consortium 报告这些问题。上游感谢这些问题的原始报告者 Clement Berthaux (Synacktiv)。缺陷补丁：* ICANN 预计在 2017 年 10 月执行根区 DNSSEC 密钥签名密钥 (KSK) 滚动更新。通过添加新的根区 KSK 以维护最新 KSK，是确保验证 DNS 解析器继续跟随滚动更新运行的关键。(BZ#1458234)

内核更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 在 Linux 内核分配堆内存，以从套接字缓存 (skb_buff) 的片段列表 (skb_shinfo(skb)->frag_list) 中建立分散聚集列表的方式中发现缺陷。如果一起使用 ‘MAX_SKB_FRAGS + 1’ 参数和 ‘NETIF_F_FRAGLIST’ 功能，则会发生堆溢出。远程用户或进程可利用此缺陷，提升其系统权限。（CVE-2017-7477，重要）* NFS2/3 RPC 客户端会向 NFS 服务器发送长参数。这些编码参数存储于内存页面的数组中，并通过指针变量进行访问。任意长参数可使这些指针移出数组，并导致越界内存访问。远程用户或程序可利用此缺陷造成内核崩溃（拒绝服务）。（CVE-2017-7645，重要）* 4.10.13 及之前版本的 Linux 内核中的 NFSv2 和 NFSv3 服务器实现缺少某些缓冲区末端检查。远程攻击者可利用与 fs/nfsd/nfs3xdr.c 和 fs/nfsd/nfsxdr.c 相关的特制请求触发指针运算错误，或者可能导致其他未指定错误。（CVE-2017-7895，重要）* 置有基于内核的虚拟机 (CONFIG_KVM) 支持的 Linux 内核，易发生段选择器 (SS) 值错误的问题。在长模式下将值加载到 SS 寄存器时可能会发生此错误。来宾机中的用户或进程可利用此缺陷使来宾机崩溃，从而导致 DoS 或来宾机中可能的权限提升。（CVE-2017-2583，中等）* 在 Linux 内核处理具有 URG 标志的数据包时发现缺陷。使用 splice() 和 tcp_splice_read() 功能的应用程序，允许远程攻击者强制内核进入无限循环的环境中。（CVE-2017-6214，中等）Red Hat 在此感谢 Ari Kauppi 报告 CVE-2017-7895，以及 Xiaohan Zhang (Huawei Inc.) 报告 CVE-2017-2583。缺陷补丁：* 此前，保留页面计数器 (HugePages_Rsvd) 比 /proc/meminfo 文件中的总页面计数器 (HugePages_Total) 大，HugePages_Rsvd 因而发生下溢。此更新已修复 Linux 内核的 HugeTLB 功能，并且 HugePages_Rsvd 下溢不会再发生。(BZ#1445184) * 如果列出 NFS 客户端目录时对其进行修改，则 NFS 客户端会多次重启目录列表。因此，列出目录的性能不佳。通过此更新，目录列表重启发生频率降低。因此，列出目录性能在其修改的同时得以提升。(BZ#1450851) * 以太网 (FCoE) 适配器光纤通道在某些情况下，重新启动失败。此更新修复了 qla2xxx 驱动，现在 FCoE 适配器按预期重新启动。(BZ#1446246) * 当具有 Virtual Function I/O (VFIO) 设备的虚拟机重新启动时，由于 VFIO 直接内存访问 (DMA) 映射请求失败，QEMU 进程偶然会发生意外终止。此更新修复了 vfio 驱动，并且 QEMU 不会再在所述情况下发生崩溃。(BZ#1450855) * 当使用 in-box lpfc 驱动启动操作系统时，IBM Power Systems 上的小字节序变量发生内核恐慌。此更新修复了 lpfc，并且内核不会再在所述情况下发生错误。(BZ#1452044) * 当启动 ‘Hugepages’ 功能的情况下，创建或破坏具有 Virtual Function I/O (VFIO) 设备的 VM 时，直接内存访问 (DMA) 页表项 (PTE) 映射发生错误，并且 QEMU 内存用量变得不可预测。此更新修复了在针对输入/输出内存管理单元 (IOMMU) 中为大量页挪出空间时进行的范围计算。因此，DMA PTE 映射不会再发生错误，并且 QEMU 在所述情况下具有可预测内存用量。(BZ#1450856)

freeradius 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。FreeRADIUS 是可配置性高的高性能免费远程认证拨入用户服务 (RADIUS) 服务器，旨在允许网络的集中认证和授权。安全修复：* 在 FreeRADIUS 中 EAP 模块处理 TLS 会话恢复的方式中发现一个身份验证绕过缺陷。未经认证的远程攻击者可利用此缺陷，通过恢复之前未经身份验证的 TLS 会话来绕过 FreeRADIUS 的内部身份验证检查。(CVE-2017-9148)

mercurial 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mercurial 是一个快速、轻量级的源控制管理系统，专用于处理非常大的分布式项目。安全修复：* 在 Mercurial 处理命令行选项 ‘hg serve --stdio’ 命令的方式中发现缺陷。经身份验证的远程攻击者可利用此缺陷，通过特制的命令行选项，在 Mercurial 服务器上执行任意代码。(CVE-2017-9462)

sudo 更新现可用于 Red Hat Enterprise Linux 5 Extended Lifecycle Support、Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。sudo 程序包中包含 sudo 实用工具，可允许系统管理员为特定用户提供执行特权命令的权限，该命令可用于实现系统管理目的，而无需以根用户身份进行登录。安全修复：* 已发现 CVE-2017-1000367 的初始修复不完整。在 sudo 从 proc 文件系统的过程状态文件中解析 tty 信息的方式中发现缺陷。有权限通过 sudo 执行命令的本地用户，可利用此缺陷将其权限提升至根。(CVE-2017-1000368)

thunderbird 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，该系统针对每个漏洞给出详细的严重性评级。

Mozilla Thunderbird 是独立的邮件和新闻组客户端。

此更新将 Thunderbird 升级至 52.2.0 版。

安全修复：

* 在处理畸形 Web 内容时发现多个缺陷。包含恶意内容的网页可能导致 Thunderbird 崩溃，或者可能以运行 Thunderbird 的用户的权限执行任意代码。（CVE-2017-5470、CVE-2017-5472、CVE-2017-7749、CVE-2017-7750、CVE-2017-7751、CVE-2017-7756、CVE-2017-7771、CVE-2017-7772、CVE-2017-7773、CVE-2017-7774、CVE-2017-7776、CVE-2017-7777、CVE-2017-7778、CVE-2017-7752、CVE-2017-7754、CVE-2017-7757、CVE-2017-7758、CVE-2017-7764）

Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Nils、Nicolas Trippar (Zimperium zLabs)、Tyson Smith、Mats Palmgren、Philipp、Masayuki Nakano、Christian Holler、Andrew McCreight、Gary Kwong、Andre Bargull、Carsten Book、Jesse Schwartzentruber、Julian Hector、Marcia Knous、Ronald Crane、Samuel Erb、Holger Fuhrmannek、Abhishek Arya 和 F. Alonso (revskills)

内核更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 在针对用户空间二进制文件在堆栈上分配内存的方式中发现缺陷。如果堆（或其他内存区域）和堆内存区域相邻，攻击者可利用此缺陷跳过堆栈保护措施，造成进程堆栈或相邻内存区域上受控制的内存损坏，从而提升其系统权限。此为内核部分的缓解，将堆栈保护措施从一页升至 1 MiB，使得顺利利用此问题变得更加困难。（CVE-2017-1000364，重要）Red Hat 在此感谢 Qualys Research Labs 报告此问题。

内核更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 在针对用户空间二进制文件在堆栈上分配内存的方式中发现缺陷。如果堆（或其他内存区域）和堆内存区域相邻，攻击者可利用此缺陷跳过堆栈保护措施，造成进程堆栈或相邻内存区域上受控制的内存损坏，从而提升其系统权限。此为内核部分的缓解，将堆栈保护措施从一页升至 1 MiB，使得顺利利用此问题变得更加困难。（CVE-2017-1000364，重要）Red Hat 在此感谢 Qualys Research Labs 报告此问题。

glibc 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。glibc 程序包提供了标准 C 库 (libc)、POSIX 线程库 (libpthread)、标准 math 库 (libm)，以及名称服务器缓存后台程序 (nscd)，供系统中的多个程序使用。如果没有这些库，Linux 系统无法正常工作。安全修复：* 在针对用户空间二进制文件在堆栈上分配内存的方式中发现缺陷。如果堆（或其他内存区域）和堆内存区域相邻，攻击者可利用此缺陷跳过堆栈保护措施，造成进程堆栈或相邻内存区域上受控制的内存损坏，从而提升其系统权限。此为 glibc 部分的缓解作业，针对以安全执行模式运行的程序阻止 LD_LIBRARY_PATH 处理，并减少处理 LD_AUDIT、LD_PRELOAD 和 LD_HWCAP_MASK 所执行的分配数量，使得顺利利用此问题变得更加困难。(CVE-2017-1000366) Red Hat 在此感谢 Qualys Research Labs 报告此问题。

glibc 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。glibc 程序包提供了标准 C 库 (libc)、POSIX 线程库 (libpthread)、标准 math 库 (libm)，以及名称服务器缓存后台程序 (nscd)，供系统中的多个程序使用。如果没有这些库，Linux 系统无法正常工作。安全修复：* 在针对用户空间二进制文件在堆栈上分配内存的方式中发现缺陷。如果堆（或其他内存区域）和堆内存区域相邻，攻击者可利用此缺陷跳过堆栈保护措施，造成进程堆栈或相邻内存区域上受控制的内存损坏，从而提升其系统权限。此为 glibc 部分的缓解作业，针对以安全执行模式运行的程序阻止 LD_LIBRARY_PATH 处理，并减少处理 LD_AUDIT、LD_PRELOAD 和 LD_HWCAP_MASK 所执行的分配数量，使得顺利利用此问题变得更加困难。(CVE-2017-1000366) Red Hat 在此感谢 Qualys Research Labs 报告此问题。

firefox 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队已将此更新评级为具有重大安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

Mozilla Firefox 是一款开源网页浏览器。

此更新将 Firefox 升级至 52.2.0 ESR 版本。

安全修复：

* 在处理畸形 Web 内容时发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2017-5470、CVE-2017-5472、CVE-2017-7749、CVE-2017-7751、CVE-2017-7756、CVE-2017-7771、CVE-2017-7772、CVE-2017-7773、CVE-2017-7774、CVE-2017-7776、CVE-2017-7777、CVE-2017-7778、CVE-2017-7750、CVE-2017-7752、CVE-2017-7754、CVE-2017-7757、CVE-2017-7758、CVE-2017-7764）

Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Nils、Zimperium zLabs 的 Nicolas Trippar、Mats Palmgren、Philipp、Masayuki Nakano、Christian Holler、Andrew McCreight、Gary Kwong、Andre Bargull、Carsten Book、Jesse Schwartzentruber、Julian Hector、Marcia Knous、Ronald Crane、Samuel Erb、Holger Fuhrmannek、Tyson Smith、Abhishek Arya 和 F. Alonso (revskills)

qemu-kvm 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。基于内核的虚拟机 (KVM) 是针对多种架构上 Linux 的完全虚拟化解决方案。qemu-kvm 程序包提供了用户空间组件，用于运行使用 KVM 的虚拟机。安全修复：* 在 QEMU 的 Cirrus CLGD 54xx VGA 仿真器支持中发现越界读/写访问问题。当通过各种 bitblt 函数复制 VGA 数据时，会发生此漏洞。来宾机中的特权用户可利用此缺陷使 Qemu 进程崩溃，或可能在具有 QEMU 进程权限的主机上执行任意代码。(CVE-2017-7980) * 在 QEMU 的 Cirrus CLGD 54xx VGA 仿真器支持中发现越界访问问题。当使用 bitblt 函数（例如，cirrus_bitblt_rop_fwd_transp_）复制 VGA 数据时，会发生此漏洞。来宾机中的特权用户可利用此缺陷使 QEMU 进程崩溃，从而导致拒绝服务。(CVE-2017-7718) Red Hat 在此感谢 Jiangxin (PSIRT Huawei Inc) 和 Li Qiang (Qihoo 360 Gear Team) 报告 CVE-2017-7980，以及Jiangxin (PSIRT Huawei Inc) 报告 CVE-2017-7718。缺陷补丁：* 此前，当串行设备的 ‘pty’ 后端执行不规则 I/O 通信时，来宾虚拟机在某些情况下没有响应。此更新改进了来宾机上的串行 I/O 处理，防止所述问题的发生。(BZ#1452332)

sudo 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。sudo 程序包中包含 sudo 实用工具，可允许系统管理员为特定用户提供执行特权命令的权限，该命令可用于实现系统管理目的，而无需以根用户身份进行登录。安全修复：* 在 sudo 从 proc 文件系统的过程状态文件中解析 tty 信息的方式中发现缺陷。有权限通过 sudo 执行命令的本地用户，可利用此缺陷将其权限提升至根。(CVE-2017-1000367) Red Hat 在此感谢 Qualys Security 报告此问题。

内核更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 在 Linux 内核处理具有 URG 标志的数据包时发现缺陷。使用 splice() 和 tcp_splice_read() 功能的应用程序，允许远程攻击者强制内核进入无限循环的环境中。（CVE-2017-6214，中等）缺陷补丁：* 当执行某个 Hadoop 作业时，在多个群集节点上有时会发生内核恐慌。此更新修复了内核计划程序，在所述情况下不会再发生内核恐慌。(BZ#1436241) * 此前，偶尔会发生 struct cred 数据结构和相关数据结构的内存泄露。因此，系统性能不够理想，具有 I/O 操作等待率高和空闲内存总量小的情况。此更新修复了 struct slab 缓冲的参考计数，不会再造成 get_cred() 函数和 put_cred() 函数调用间的失衡。因此，在所述情况下，不会再出现内核泄露。(BZ#1443234) * 此前，be2net 驱动无法在 IBM Power Systems 上正确检测链接状态。因此，总是报告链接状态未连接。此更新已修复 be2net，并且网络接口卡 (NICs) 现在正确报告链接状态。(BZ#1442979) * 此前，RFF_ID 和 RFT_ID 命令在 lpfc 驱动中以错误顺序发出。因此，用户无法访问逻辑单元号 (LUN)。此更新已修复 lpfc，并在 RFF_ID 之前发出 RFT_ID，此为正确顺序。因此，用户现在可按预期访问 LUN。(BZ#1439636) * 此前，在内核恐慌期间，kdump 机制尝试通过 vmalloc_sync_all() 函数进行锁定。因此会发生死锁，并且 crashkernel 未启动。此更新修复了 vmalloc_sync_all() 函数，避免在崩溃的 CPU 上同步 vmalloc 区域。因此，现在 crashkernel 参数按预期启动，并且在所述情况下，可成功收集内核转储。(BZ#1443499)

nss 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。安全修复：* 在 NSS 处理空 SSLv2 消息的方式中发现空指针取消引用缺陷。攻击者可利用此缺陷，导致针对 NSS 库编译的服务器应用程序崩溃。(CVE-2017-7502) 缺陷补丁：* 已更新网络安全服务 (NSS) 代码和认证机构 (CA) 列表，以符合最新 Mozilla Firefox Extended Support Release (ESR) 发布的建议。更新的 CA 列表可提高与在 Internet 公钥基础设施 (PKI) 中使用之证书的兼容性。为避免证书验证遭拒，Red Hat 建议于 2017 年 6 月 12 日安装更新的 CA 列表。(BZ# 1451421)

nss 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。安全修复：* 在 NSS 处理空 SSLv2 消息的方式中发现空指针取消引用缺陷。攻击者可利用此缺陷，导致针对 NSS 库编译的服务器应用程序崩溃。(CVE-2017-7502) 缺陷补丁：* 已更新网络安全服务 (NSS) 代码和认证机构 (CA) 列表，以符合最新 Mozilla Firefox Extended Support Release (ESR) 发布的建议。更新的 CA 列表可提高与在 Internet 公钥基础设施 (PKI) 中使用之证书的兼容性。为避免证书验证遭拒，Red Hat 建议于 2017 年 6 月 12 日安装更新的 CA 列表。(BZ# 1448488)

内核更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 已发现 Linux 内核网络实现的 packet_set_ring() 函数未正确验证某个块大小数据。具有 CAP_NET_RAW 能力的本地攻击者可利用此缺陷来触发缓冲区溢出，从而导致系统崩溃。鉴于此缺陷的本质，无法完全排除权限提升。（CVE-2017-7308，重要）* 装载经构建的 EXT4 图像只读会导致攻击者控制内存损坏以及 SLAB-Out-of-Bound 读取。（CVE-2016-10208，中等）* 在 Linux 内核的 seq_file 实现中发现缺陷，本地攻击者可在其中的 put() 函数指针中操纵内存。这会导致内存损坏和可能的权限提升。（CVE-2016-7910，中等）* 在 Linux 内核中发现漏洞。非特权本地用户可通过尝试强制使用内核哈希算法对空数据集进行解密，以便在 shash_async_export() 中触发错误。（CVE-2016-8646，中等）* 据报告，使用低于 v4.10-rc8 版本的 Linux 内核时，如果套接字 tx 缓冲区已满，线程正在待其排列更多的数据，同时另一线程从首个线程使用过的关联中剥离，则应用程序可在 sctp_wait_for_sndbuf 中触发 BUG_ON。（CVE-2017-5986，中等）Red Hat 在此感谢 Igor Redko（Virtuozzo 内核团队）报告 CVE-2016-8646。其他更改：此更新还修复了多个缺陷并添加了多项增强。“参考”部分链接的技术札记文档中提供这些更改的文档。

samba4 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Samba 是服务器消息块 (SMB) 或通用 Internet 文件系统 (CIFS) 协议的开源实现，允许兼容 PC 的计算机共享文件、打印机和其他信息。安全修复：* 在 Samba 中发现远程代码执行缺陷。经身份验证的恶意 samba 客户端，如果拥有 samba 共享的写入访问权，可利用此缺陷以根身份执行任意代码。(CVE-2017-7494) Red Hat 在此感谢 Samba 项目报告此问题。上游感谢原始报告者 steelo。

samba 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Samba 是服务器消息块 (SMB) 协议与相关通用 Internet 文件系统 (CIFS) 协议的开源实现，允许兼容 PC 的计算机共享文件、打印机和多种信息。安全修复：* 在 Samba 中发现远程代码执行缺陷。经身份验证的恶意 samba 客户端，如果拥有 samba 共享的写入访问权，可利用此缺陷以根身份执行任意代码。(CVE-2017-7494) Red Hat 在此感谢 Samba 项目报告此问题。上游感谢原始报告者 steelo。

libtirpc 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。libtirpc 程序包中包括 SunLib 的传输独立远程过程调用 (TI-RPC) 文档实现，其中包括 nfs-utils 和 rpcbind 程序包中程序所需的库。安全修复：* 已发现由于 rpcbind 使用 libtirpc (libntirpc) 的方式，解析特制的 XDR 消息时，会发生内存泄露。向 rpcbind 发送数千条消息的攻击者，可造成其内存使用无限增加，最终导致遭到 OOM killer 终止。(CVE-2017-8779)

rpcbind 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。[2017 年 6 月 16 日更新] 与此 errata 一同分发的程序包中有个错误，会造成 rpcbind 实用工具启动时意外终止。已在 2017 年 6 月 13 日发布 RHBA-2017:1435 以解决此问题。rpcbind 实用工具是可以将远程过程调用 (RPC) 程序数转换为通用地址的服务器。此实用工具必须在主机上运行，才能在对应计算机的服务器上进行 RPC 调用。安全修复：* 已发现由于 rpcbind 使用 libtirpc (libntirpc) 的方式，解析特制的 XDR 消息时，会发生内存泄露。向 rpcbind 发送数千条消息的攻击者，可造成其内存使用无限增加，最终导致遭到 OOM killer 终止。(CVE-2017-8779)

samba 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Samba 是服务器消息块 (SMB) 协议与相关通用 Internet 文件系统 (CIFS) 协议的开源实现，允许兼容 PC 的计算机共享文件、打印机和多种信息。安全修复：* 已发现当使用 Kerberos 验证时，Samba 总是请求可转发票证。Samba 使用 Kerberos 验证的服务，之后会使用该票证将 Samba 模拟到其他服务或域用户。(CVE-2016-2125) * 在 Samba 处理 PAC（特权属性证书）校验和的方式中发现缺陷。经身份验证的远程攻击者可利用此缺陷导致 winbindd 进程崩溃。(CVE-2016-2126) * 在 samba 服务器中发现争用条件。恶意 samba 客户端可利用此缺陷，在未于共享定义下导出的服务器文件系统的区域内访问文件和指令。(CVE-2017-2619) Red Hat 在此感谢 Samba 项目报告 CVE-2017-2619。上游感谢 CVE-2017-2619 的原始报告者 Jann Horn (Google)。

kdelibs 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。K Desktop Environment (KDE) 是 X Window System 的图形桌面环境。kdelibs 程序包中包括 K Desktop Environment (KDE) 核心库。安全修复：* 在 kdelibs 处理 D-Bus 消息的方式中发现权限提升缺陷。本地用户可利用此缺陷，通过欺骗 callerID 并利用特权帮助应用程序，来获得根权限。(CVE-2017-8422) Red Hat 在此感谢 Sebastian Krahmer (SUSE) 报告此问题。

libtirpc 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。libtirpc 程序包中包括 SunLib 的传输独立远程过程调用 (TI-RPC) 文档实现，其中包括 nfs-utils 和 rpcbind 程序包中程序所需的库。安全修复：* 已发现由于 rpcbind 使用 libtirpc (libntirpc) 的方式，解析特制的 XDR 消息时，会发生内存泄露。向 rpcbind 发送数千条消息的攻击者，可造成其内存使用无限增加，最终导致遭到 OOM killer 终止。(CVE-2017-8779)

rpcbind 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。[2017 年 6 月 16 日更新] 与此 errata 一同分发的程序包中有个错误，会造成 rpcbind 实用工具启动时意外终止。已在 2017 年 6 月 13 日发布 RHBA-2017:1436 以解决此问题。rpcbind 实用工具是可以将远程过程调用 (RPC) 程序数转换为通用地址的服务器。此实用工具必须在主机上运行，才能在对应计算机的服务器上进行 RPC 调用。安全修复：* 已发现由于 rpcbind 使用 libtirpc (libntirpc) 的方式，解析特制的 XDR 消息时，会发生内存泄露。向 rpcbind 发送数千条消息的攻击者，可造成其内存使用无限增加，最终导致遭到 OOM killer 终止。(CVE-2017-8779)

ghostscript 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Ghostscript 套件包含用于渲染 PostScript 和 PDF 文档的实用工具。Ghostscript 可将 PostScript 代码转换成普通 bitmap 格式，使代码可以显示或打印。安全修复：* 已发现 ghostscript 未正确验证传至 .rsdparams 和 .eqproc 函数的参数。在其执行期间，特制的 PostScript 文档会在 ghostscript 进程的环境中执行代码，从而绕过 -dSAFER 保护。(CVE-2017-8291)

jasper 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。JasPer 是 JPEG 2000 图像压缩标准第 1 部分的实现。安全修复：在 JasPer 解码 JPEG 2000 图像文件的方式中发现多个缺陷。特制的文件可导致使用 JasPer 的应用程序崩溃或执行任意代码。(CVE-2016-8654, CVE-2016-9560, CVE-2016-10249, CVE-2015-5203, CVE-2015-5221, CVE-2016-1577, CVE-2016-8690, CVE-2016-8693, CVE-2016-8884, CVE-2016-8885, CVE-2016-9262, CVE-2016-9591) 在 JasPer 解码 JPEG 2000 图像文件的方式中发现多个缺陷。特制的文件可导致使用 JasPer 的应用程序崩溃。(CVE-2016-1867, CVE-2016-2089, CVE-2016-2116, CVE-2016-8691, CVE-2016-8692, CVE-2016-8883, CVE-2016-9387, CVE-2016-9388, CVE-2016-9389, CVE-2016-9390, CVE-2016-9391, CVE-2016-9392, CVE-2016-9393, CVE-2016-9394, CVE-2016-9583, CVE-2016-9600, CVE-2016-10248, CVE-2016-10251) Red Hat 在此感谢 Liu Bingchang (IIE) 报告 CVE-2016-8654、CVE-2016-9583、CVE-2016-9591、CVE-2016-9600；感谢 Gustavo Grieco 报告 CVE-2015-5203；并感谢 Josselin Feist 报告 CVE-2015-5221。

qemu-kvm 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。基于内核的虚拟机 (KVM) 是针对多种架构上 Linux 的完全虚拟化解决方案。qemu-kvm 程序包提供了用户空间组件，用于运行使用 KVM 的虚拟机。安全修复：* 在 QEMU 的 Cirrus CLGD 54xx VGA 仿真器的 VNC 显示驱动程序支持中，发现堆缓冲区溢出缺陷；若 VNC 客户端在来宾机执行 VGA 操作之后，尝试更新其显示，可能会发生此问题。来宾机中的特权用户/进程可利用此缺陷使 Qemu 进程崩溃，或可能在具有 QEMU 进程权限的主机上执行任意代码。(CVE-2016-9603) * 在 QEMU 的 Cirrus CLGD 54xx VGA 仿真器支持中发现越界读/写访问问题。当通过各种 bitblt 函数复制 VGA 数据时，会发生此漏洞。来宾机中的特权用户可利用此缺陷使 Qemu 进程崩溃，或可能在具有 QEMU 进程权限的主机上执行任意代码。(CVE-2017-7980) * 在 QEMU 的 VNC 显示驱动程序支持中发现越界内存访问问题。当在 ‘vnc_refresh_server_surface’ 中刷新 VNC 显示表面区域时，可能发生此漏洞。来宾机中的用户/进程可利用此缺陷使 QEMU 进程崩溃，从而导致拒绝服务。(CVE-2017-2633) * 在 QEMU 的 Cirrus CLGD 54xx VGA 仿真器支持中发现越界访问问题。当使用 bitblt 函数（例如，cirrus_bitblt_rop_fwd_transp_）复制 VGA 数据时，会发生此漏洞。来宾机中的特权用户可利用此缺陷使 QEMU 进程崩溃，从而导致拒绝服务。(CVE-2017-7718) Red Hat 在此感谢 Jiangxin（华为 PSIRT）和 Li Qiang（奇虎 360 Gear Team）报告 CVE-2017-7980，并感谢 Jiangxin（华为 PSIRT）报告 CVE-2017-7718。

java-1.7.0-openjdk 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。安全修复：* 在 OpenJDK 的 JCE 组件中发现不受信任的库搜索路径缺陷。本地攻击者可利用此缺陷造成使用 JCE 的 Java 应用程序加载受攻击者控制的库，继而提升其权限。(CVE-2017-3511) * 已发现 OpenJDK 的 JAXP 组件在解析 XML 文档时，未正确强制解析树的大小限制。可以使 Java 应用程序解析特制 XML 文档的攻击者，可利用此缺陷使其消耗过量 CPU 和内存。(CVE-2017-3526) * 已发现 OpenJDK 的 Networking 组件中的 HTTP 客户端实现会缓存并复用不同安全环境中的 NTLM 验证连接。远程攻击者可能会利用此缺陷，使 Java 应用程序执行以其他用户凭证进行身份验证的 HTTP 请求。(CVE-2017-3509) 注意：此更新为 ‘jdk.ntlm.cache’ 系统属性添加支持，当设置为错误时，可防止缓存 NTLM 连接和身份验证，从而防止发生此问题。然而，默认仍启用缓存。* 已发现 OpenJDK 的 Security 组件未允许用户限制用于 Jar 完整性验证的算法组。此缺陷允许攻击者修改使用弱签名密钥或哈希算法的 Jar 文件内容。(CVE-2017-3539) 注意：此更新扩展了作为 RHSA-2016:2658 勘误一部分发布的 CVE-2016-5542 修复内容，通过将其添加到 jdk.jar.disabledAlgorithms 安全属性，在 Jar 完整性验证期间不再允许 MD5 哈希算法。* 在 OpenJDK Networking 组件的 FTP 和 SMTP 客户端实现中发现换行符注入缺陷。远程攻击者可利用这些缺陷操纵由 Java 应用程序建立的 FTP 或 SMTP 连接。(CVE-2017-3533, CVE-2017-3544)

bind 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)；一个解析器库（与 DNS 接合时供应用程序使用的例程）；以及用于验证 DNS 服务器是否正常运行的工具。安全修复：* 在 BIND 处理 DNSSEC 验证的方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷通过特制的 DNS 响应导致 named 意外退出并出现断言失败。(CVE-2017-3139) 注意：此问题仅影响 Red Hat Enterprise Linux 6 附带的 BIND 版本。此漏洞不影响 BIND 的任何上游版本。

thunderbird 的更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Thunderbird 是独立的邮件和新闻组客户端。此更新将 Thunderbird 升级到版本 52.1.0。安全修复：* 在处理畸形 Web 内容时发现多个缺陷。包含恶意内容的网页可能导致 Thunderbird 崩溃，或者可能以运行 Thunderbird 的用户的权限执行任意代码。(CVE-2017-5429, CVE-2017-5433, CVE-2017-5435, CVE-2017-5436, CVE-2017-5459, CVE-2017-5466, CVE-2017-5432, CVE-2017-5434, CVE-2017-5438, CVE-2017-5439, CVE-2017-5440, CVE-2017-5441, CVE-2017-5442, CVE-2017-5443, CVE-2017-5444, CVE-2017-5446, CVE-2017-5447, CVE-2017-5454, CVE-2017-5460, CVE-2017-5464, CVE-2017-5465, CVE-2017-5469, CVE-2016-10195, CVE-2016-10196, CVE-2017-5445, CVE-2017-5449, CVE-2017-5451, CVE-2017-5467, CVE-2016-10197) Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Petr Cerny、Nils、Ivan Fratric (Google Project Zero)、Takeshi Terada、Heather Miller (Google Skia team)、Chun Han Hsiao、Chamal De Silva、Nicolas Gregoire、Holger Fuhrmannek、Atte Kettunen、Haik Aftandilian 和 Jordi Chancel。

java-1.8.0-openjdk 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。安全修复：* 在 OpenJDK 的 JCE 组件中发现不受信任的库搜索路径缺陷。本地攻击者可利用此缺陷造成使用 JCE 的 Java 应用程序加载受攻击者控制的库，继而提升其权限。(CVE-2017-3511) * 已发现 OpenJDK 的 JAXP 组件在解析 XML 文档时，未正确强制解析树的大小限制。可以使 Java 应用程序解析特制 XML 文档的攻击者，可利用此缺陷使其消耗过量 CPU 和内存。(CVE-2017-3526) * 已发现 OpenJDK 的 Networking 组件中的 HTTP 客户端实现会缓存并复用不同安全环境中的 NTLM 验证连接。远程攻击者可能会利用此缺陷，使 Java 应用程序执行以其他用户凭证进行身份验证的 HTTP 请求。(CVE-2017-3509) 注意：此更新为 ‘jdk.ntlm.cache’ 系统属性添加支持，当设置为错误时，可防止缓存 NTLM 连接和身份验证，从而防止发生此问题。然而，默认仍启用缓存。* 已发现 OpenJDK 的 Security 组件未允许用户限制用于 Jar 完整性验证的算法组。此缺陷允许攻击者修改使用弱签名密钥或哈希算法的 Jar 文件内容。(CVE-2017-3539) 注意：此更新扩展了作为 RHSA-2016:2079 勘误一部分发布的 CVE-2016-5542 修复内容，通过将其添加到 jdk.jar.disabledAlgorithms 安全属性，在 Jar 完整性验证期间不再允许 MD5 哈希算法。* 在 OpenJDK Networking 组件的 FTP 和 SMTP 客户端实现中发现换行符注入缺陷。远程攻击者可利用这些缺陷操纵由 Java 应用程序建立的 FTP 或 SMTP 连接。(CVE-2017-3533, CVE-2017-3544) 注意：安装由 icedtea-web 程序包提供的网页浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在不与用户交互的情况下被利用。

java-1.8.0-openjdk 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。安全修复：* 在 OpenJDK 的 JCE 组件中发现不受信任的库搜索路径缺陷。本地攻击者可利用此缺陷造成使用 JCE 的 Java 应用程序加载受攻击者控制的库，继而提升其权限。(CVE-2017-3511) * 已发现 OpenJDK 的 JAXP 组件在解析 XML 文档时，未正确强制解析树的大小限制。可以使 Java 应用程序解析特制 XML 文档的攻击者，可利用此缺陷使其消耗过量 CPU 和内存。(CVE-2017-3526) * 已发现 OpenJDK 的 Networking 组件中的 HTTP 客户端实现会缓存并复用不同安全环境中的 NTLM 验证连接。远程攻击者可能会利用此缺陷，使 Java 应用程序执行以其他用户凭证进行身份验证的 HTTP 请求。(CVE-2017-3509) 注意：此更新为 ‘jdk.ntlm.cache’ 系统属性添加支持，当设置为错误时，可防止缓存 NTLM 连接和身份验证，从而防止发生此问题。然而，默认仍启用缓存。* 已发现 OpenJDK 的 Security 组件未允许用户限制用于 Jar 完整性验证的算法组。此缺陷允许攻击者修改使用弱签名密钥或哈希算法的 Jar 文件内容。(CVE-2017-3539) 注意：此更新扩展了作为 RHSA-2016:2079 勘误一部分发布的 CVE-2016-5542 修复内容，通过将其添加到 jdk.jar.disabledAlgorithms 安全属性，在 Jar 完整性验证期间不再允许 MD5 哈希算法。* 在 OpenJDK Networking 组件的 FTP 和 SMTP 客户端实现中发现换行符注入缺陷。远程攻击者可利用这些缺陷操纵由 Java 应用程序建立的 FTP 或 SMTP 连接。(CVE-2017-3533, CVE-2017-3544) 注意：安装由 icedtea-web 程序包提供的网页浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在不与用户交互的情况下被利用。缺陷补丁：* 在目标 Java 虚拟机中使用 Java 调试线协议 (JDWP) ‘invokeMethod’ 命令调用一种方式时，JDWP 为方法调用中隐含的每个对象以及引用类型的返回参数创建全局引用。此前，在 ‘invokeMethod’ 完成后，垃圾回收器未收集（解除分配）针对此类参数创建的全局引用。因此导致内存泄露，并由于从未释放针对此类对象的引用，调试应用程序会因为内存不足错误而终止。已修复此缺陷，不会再发生所述问题。(BZ#1442162)

firefox 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一款开源网页浏览器。此更新将 Firefox 升级到版本 52.1.0 ESR。安全修复：* 在处理畸形 Web 内容时发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2017-5429, CVE-2017-5430, CVE-2017-5432, CVE-2017-5433, CVE-2017-5434, CVE-2017-5435, CVE-2017-5436, CVE-2017-5437, CVE-2017-5438, CVE-2017-5439, CVE-2017-5440, CVE-2017-5441, CVE-2017-5442, CVE-2017-5443, CVE-2017-5444, CVE-2017-5445, CVE-2017-5446, CVE-2017-5447, CVE-2017-5448, CVE-2017-5449, CVE-2017-5451, CVE-2017-5454, CVE-2017-5455, CVE-2017-5456, CVE-2017-5459, CVE-2017-5460, CVE-2017-5464, CVE-2017-5465, CVE-2017-5466, CVE-2017-5467, CVE-2017-5469) Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Mozilla 开发人员和社区成员 Nils、Holger Fuhrmannek、Atte Kettunen、Takeshi Terada、Huzaifa Sidhpurwala、Nicolas Gregoire、Chamal De Silva、Chun Han Hsiao、Google Project Zero 的 Ivan Fratric、与 Trend Micro Zero Day Initiative 合作的匿名人士、Haik Aftandilian、Paul Theriault、Julian Hector、Petr Cerny、Jordi Chancel、Google Skia 团队的 Heather Miller。

bind 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)；一个解析器库（与 DNS 接合时供应用程序使用的例程）；以及用于验证 DNS 服务器是否正常运行的工具。安全修复：* BIND 处理包含 CNAME 或 DNAME 资源记录（顺序异常）的查询响应方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷通过特制的 DNS 响应导致 named 意外退出并出现断言失败。(CVE-2017-3137) * 在 BIND 处理查询请求（同时使用 DNS64 及 break-dnssec yes’ 选项时）的方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷通过特制的 DNS 请求导致 named 意外退出并出现断言失败。(CVE-2017-3136) Red Hat 在此感谢 ISC 报告这些问题。上游感谢 CVE-2017-3136 的原始报告者 Oleg Gorokhov (Yandex)。

firefox 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一款开源网页浏览器。此更新将 Firefox 升级到版本 52.1.0 ESR。安全修复：* 在处理畸形 Web 内容时发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2017-5429, CVE-2017-5432, CVE-2017-5433, CVE-2017-5434, CVE-2017-5435, CVE-2017-5436, CVE-2017-5437, CVE-2017-5438, CVE-2017-5439, CVE-2017-5440, CVE-2017-5441, CVE-2017-5442, CVE-2017-5443, CVE-2017-5444, CVE-2017-5445, CVE-2017-5446, CVE-2017-5447, CVE-2017-5448, CVE-2017-5449, CVE-2017-5459, CVE-2017-5460, CVE-2017-5464, CVE-2017-5465, CVE-2017-5469) Red Hat 在此感谢 Mozilla 项目报告此问题。上游感谢原始报告者 Mozilla 开发人员和社区成员 Nils、Holger Fuhrmannek、Atte Kettunen、Huzaifa Sidhpurwala、Nicolas Gregoire、Chamal De Silva、Chun Han Hsiao、Google Project Zero 的 Ivan Fratric、与 Trend Micro Zero Day Initiative 合作的匿名人士，以及 Petr Cerny。

nss 和 nss-util 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。nss-util 程序包提供了可用于 Network Security Services (NSS) 库的实用工具。下列程序包已升级至更新的上游版本：nss (3.28.4)、nss-util (3.28.4)。安全修复：* 在 NSS 处理特定 Base64 解码操作的方式中发现越界写入缺陷。攻击者可利用此缺陷创建特制的证书，当通过 NSS 解析时，可造成其崩溃，或导致以运行针对 NSS 库编译的应用程序的用户权限执行任意代码。(CVE-2017-5461) Red Hat 在此感谢 Mozilla 项目报告此问题。上游感谢原始报告者 Ronald Crane。

bind 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)；一个解析器库（与 DNS 接合时供应用程序使用的例程）；以及用于验证 DNS 服务器是否正常运行的工具。安全修复：* BIND 处理包含 CNAME 或 DNAME 资源记录（顺序异常）的查询响应方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷通过特制的 DNS 响应导致 named 意外退出并出现断言失败。(CVE-2017-3137) * 在 BIND 处理查询请求（同时使用 DNS64 及 break-dnssec yes’ 选项时）的方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷通过特制的 DNS 请求导致 named 意外退出并出现断言失败。(CVE-2017-3136) Red Hat 在此感谢 ISC 报告这些问题。上游感谢 CVE-2017-3136 的原始报告者 Oleg Gorokhov (Yandex)。

qemu-kvm 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。基于内核的虚拟机 (KVM) 是针对多种架构上 Linux 的完全虚拟化解决方案。qemu-kvm 程序包提供了使用 KVM 运行虚拟机的用户空间组件。安全修复：* 在 QEMU 的 Cirrus CLGD 54xx VGA 仿真器的 VNC 显示驱动程序支持中，发现堆缓冲区溢出缺陷；若 VNC 客户端在来宾机执行 VGA 操作之后，尝试更新其显示，可能会发生此问题。来宾机中的特权用户/进程可利用此缺陷使 Qemu 进程崩溃，或可能在具有 QEMU 进程权限的主机上执行任意代码。(CVE-2016-9603)

libreoffice 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。LibreOffice 是由社区开发的开源办公应用套件。它包括主要的桌面应用程序，例如文字处理器、电子表格、演示文稿管理器、公式编辑器和绘图程序。LibreOffice 将替换 OpenOffice 并提供功能类似但进行过增强和扩展的办公套件。安全修复：* 已发现 LibreOffice 会泄露在嵌入对象预览中指定的文件内容。攻击者可利用此缺陷，通过构建的文档，公开将 LibreOffice 作为在线服务运行的系统详细信息。(CVE-2017-3157)

Tomcat 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。安全修复：* 已发现解析 HTTP 请求行的代码允许无效字符。可利用此缺陷，通过与同样允许无效字符但解释不同的代理结合，将数据注入 HTTP 响应。通过操控 HTTP 响应，攻击者可侵害 Web 缓存、执行 XSS 攻击或从非自身请求获得敏感信息。(CVE-2016-6816) 注意：此修复导致 Tomcat 在请求包含 HTTP 规范不允许以未编码形式显示的字符时（即使之前可以接受），响应以 HTTP 400 Bad Request 错误。新引入的系统属性 tomcat.util.http.parser.HttpParser.requestTargetAllow 可用于配置 Tomcat，使其接受未编码形式的大括号 ({ 和 }) 和管道符 (|)，因为 URL 中经常使用这些未正确编码的符号。* 在向 NIO HTTP 连接器发送文件代码的错误处理中发现缺陷。这导致当前处理器对象多次被添加至处理器缓存，造成包括但不限于会话 ID 和响应正文请求间的信息泄露。(CVE-2016-8745)

内核更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。这些更新后的内核程序包含数个安全问题与许多缺陷补丁。因篇幅所限，无法在此公告中一一记载这些缺陷补丁。若要查看缺陷补丁的完整列表，用户可访问以下网址阅读相关的知识文章：https://access.redhat.com/articles/2986951。安全修复：* 在 N_HLDC Linux 内核驱动访问可导致双重释放的 n_hdlc.tbuf 列表时，发现争用条件缺陷。可在 tty 设备上设置 HDLC 行规范的本地非特权用户，可利用此缺陷提升其系统权限。（CVE-2017-2636，重要）* 在 Linux 内核密钥管理子系统中发现缺陷，本地攻击者可通过提供特制的 RSA 密钥，致使内核崩溃，或损坏堆栈及其他内存（拒绝服务）。在 RSA 密钥验证期间，此缺陷致使机器损坏。（CVE-2016-8650，中等）* 在 Linux 内核针对 SO_{SND|RCV}BUFFORCE setsockopt() 系统调用的 setsockopt 实现中发现缺陷。具有非命名空间 CAP_NET_ADMIN 的用户可触发此调用，并创建出套接字 sendbuff 数据大小可能为负的情况。这会对内存分配产生不利影响，并创建导致系统崩溃或造成内存损坏的情况。（CVE-2016-9793，中等）* 在 Linux 内核处理清除 /proc/pid/attr 文件内 SELinux 属性的方式中发现缺陷。针对此文件的空写入，这会使系统尝试访问非映射的内核内存，从而导致系统崩溃。（CVE-2017-2618，中等）Red Hat 在此感谢 Alexander Popov 报告 CVE-2017-2636，以及 Ralf Spenneberg 报告 CVE-2016-8650。CVE-2017-2618 问题由 Paul Moore (Red Hat Engineering) 发现。

389-ds-base 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。389 目录服务器是与 LDAP 版本 3 (LDAPv3) 兼容的服务器。基础程序包中包含轻型目录访问协议 (LDAP) 服务器和用于管理服务器的命令行实用工具。安全修复：* 在 389-ds-base 处理 LDAP bind 请求的方式中发现无效指针取消引用缺陷。未经身份验证的远程攻击者会利用此缺陷，通过特制的 LDAP bind 请求，造成 ns-slapd 崩溃，从而导致拒绝服务。(CVE-2017-2668) Red Hat 在此感谢 Joachim Jabs (F24) 报告此问题。缺陷补丁：* 此前，在筛选器中添加使用 ‘nsrole’ 虚拟属性的筛选角色定义时，目录服务器意外终止。已采用一个修补程序，现在角色插件会忽略全部虚拟属性。因此，使用无效的筛选器时，会记录一条错误消息。此外，角色会停用，目录服务器因而不会再失败。(BZ#1429498) * 在复制拓扑中，删除大量条目时，目录服务器错误地计算字符串格式条目的大小。计算的条目大小比实际要求要小。因此，目录服务器分配的内存不足，并且当写入数据时发生意外终止。通过此更新，在所述情况下，字符串格式条目的大小现在可以正确计算，并且目录服务器不会再意外终止。(BZ#1429495)

libreoffice 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。LibreOffice 是由社区开发的开源办公应用套件。它包括主要的桌面应用程序，例如文字处理器、电子表格、演示文稿管理器、公式编辑器和绘图程序。LibreOffice 将替换 OpenOffice 并提供功能类似但进行过增强和扩展的办公套件。安全修复：* 已发现 LibreOffice 会泄露在嵌入对象预览中指定的文件内容。攻击者可利用此缺陷，通过构建的文档，公开将 LibreOffice 作为在线服务运行的系统详细信息。(CVE-2017-3157) 缺陷补丁：* 此前，不当的资源管理在关闭启用可访问性支持的对话框窗口后，导致 LibreOffice Calc 电子表格应用程序意外终止。已改善资源管理方式，所述问题不会再发生。(BZ#1425536) * 此前，当在密码保护的文档中输入错误密码时，文档被视作有效，并且尝试回退操作，以纯文本形式打开。因此，文档看似成功加载，却只显示加密的不可读内容。修复已完成，可在输入错误密码后终止导入尝试，现在，当输入错误密码时，不可加载任何内容。(BZ#1426348) * 此前，在启用可访问性支持的情况下，CSV（逗号分隔值）文件的文本导入对话框关闭后，不正确的资源管理导致 LibreOffice Calc 电子表格应用程序在退出期间意外终止。已改善资源管理方式，所述问题不会再发生。(BZ#1425535)

util-linux 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。util-linux 程序包中包含 Linux 系统正常运行所需的各种低层级系统实用工具。当中还包含 fdisk 配置工具和登录程序。安全修复：在 su 处理子流程管理的方式中发现争用条件。经身份验证的本地攻击者会利用此缺陷，在特定情况下，终止具有根权限的其他进程。(CVE-2017-2616) Red Hat 在此感谢 Tobias Stockmann 报告此问题。缺陷修复：* ‘findmnt --target ’ 命令会打印所有装入点目录为 的文件系统。此前，当在 chroot 环境中使用时，‘findmnt --target ’ 未正确显示所有装入点。已修复该命令，使其现在可检查装入点路径，并仅返回相关装入点信息。(BZ#1414481)

httpd 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。httpd 程序包提供 Apache HTTP Server（一款强大、高效、可扩展的 Web 服务器）。安全修复：* 已发现 httpd 的 mod_session_crypto 模块未使用任何机制，来验证存储于用户浏览器中加密会话数据的完整性。远程攻击者可利用此缺陷，使用 padding oracle 攻击来解密并修改会话数据。(CVE-2016-0736) * 已发现 httpd 的 mod_auth_digest 模块未正确检查内存分配是否失败。如果服务器使用 HTTP 摘要身份验证，远程攻击者会利用此缺陷，造成 httpd 子流程反复崩溃。(CVE-2016-2161) * 已发现 httpd 中的 HTTP 分析器错误地允许 HTTP 协议规范不允许以未编码形式显示在 HTTP 请求标头中的特定字符。如果 httpd 与以不同方式解释这些字符的代理或后端服务器一起使用，则远程攻击者可能会利用此缺陷将数据注入 HTTP 响应，从而导致代理缓存侵害。(CVE-2016-8743) 注意：针对 CVE-2016-8743 问题的修复导致 httpd 将 ‘400 Bad Request’ 错误返回未严格遵守 HTTP 协议规范的 HTTP 客户端。新引入的配置指令 ‘HttpProtocolOptions Unsafe’ 可用于重新启用不太严格的旧版解析。然而，此类设置也会重新引发 CVE-2016-8743 问题。缺陷补丁：* 在顺畅的重启期间唤醒子流程时，如果在重启前就有大量子流程已经激活，则 httpd 父流程可尝试打开超出所需的连接数量。因此，完成顺畅的重启会耗费大量时间。通过此更新，已修复 httpd，将在顺畅重启期间打开的连接数量限制为激活子进程的数量，所述问题不会再发生。(BZ#1420002) * 此前，当与 WebSocket 服务器间的连接关闭时，在容器中运行的 httpd 返回 500 HTTP 状态代码（内部服务器错误）。因此，httpd 服务器无法将正确的 HTTP 状态和数据传递给客户端。通过此更新，httpd 可正确处理所有针对 WebSocket 服务器的代理请求，所述问题不会再发生。(BZ#1429947) * 在使用具有 mod_authnz_ldap 模块的 LDAP 身份验证的配置中，以 AuthLDAPBindDN 指令设置的名称未正确用于针对所有查询绑定至 LDAP 服务器。因此，授权尝试失败。已修复 LDAP 模块，确保可针对 LDAP 查询正确绑定配置名称，使用 LDAP 进行身份验证的操作不会再失败。(BZ#1420047)

389-ds-base 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。389 目录服务器是与 LDAP 版本 3 (LDAPv3) 兼容的服务器。基础程序包中包含轻型目录访问协议 (LDAP) 服务器和用于管理服务器的命令行实用工具。安全修复：* 在 389-ds-base 处理 LDAP bind 请求的方式中发现无效指针取消引用缺陷。未经身份验证的远程攻击者会利用此缺陷，通过特制的 LDAP bind 请求，造成 ns-slapd 崩溃，从而导致拒绝服务。(CVE-2017-2668) Red Hat 在此感谢 Joachim Jabs (F24) 报告此问题。缺陷补丁：* 此前，‘deref’ 插件未能取消引用使用可分辨名称 (DN) 语法的属性，例如 ‘uniqueMember’。通过此修补程序，‘deref’ 插件可取消引用此类属性，以及 ‘Name and Optional UID’ 语法。因此，‘deref’ 插件现在支持任何语法。(BZ#1435365)

ID	名称	严重性
101488	CentOS 6 : httpd (CESA-2017:1721)	high
101237	CentOS 7：qemu-kvm (CESA-2017:1681)	high
101236	CentOS 7 : bind (CESA-2017:1680)	medium
101235	CentOS 6 : bind (CESA-2017:1679)	medium
101120	CentOS 7：内核 (CESA-2017:1615)	critical
101119	CentOS 7 : freeradius (CESA-2017:1581)	critical
101091	CentOS 6 / 7 : mercurial (CESA-2017:1576)	high
101005	CentOS 6 / 7 : sudo (CESA-2017:1574)	high
100965	CentOS 6 / 7：thunderbird (CESA-2017: 1561)	critical
100938	CentOS 6 : kernel (CESA-2017:1486) (Stack Clash)	high
100937	CentOS 7 : kernel (CESA-2017:1484) (Stack Clash)	high
100936	CentOS 7 : glibc (CESA-2017:1481) (Stack Clash)	high
100935	CentOS 6 : glibc (CESA-2017:1480) (Stack Clash)	high
100815	CentOS 6 / 7：firefox (CESA-2017: 1440)	critical
100770	CentOS 7：qemu-kvm (CESA-2017:1430)	high
100558	CentOS 6 / 7 : sudo (CESA-2017:1382)	medium
100557	CentOS 6 : 内核 (CESA-2017:1372)	high
100556	CentOS 7 : nss (CESA-2017:1365)	high
100555	CentOS 6 : nss (CESA-2017:1364)	high
100430	CentOS 7：内核 (CESA-2017:1308)	high
100429	CentOS 6 : samba4 (CESA-2017:1271) (SambaCry)	critical
100428	CentOS 6 / 7 : samba (CESA-2017:1270) (SambaCry)	critical
100359	CentOS 6 : libtirpc (CESA-2017:1268)	high
100358	CentOS 6 : rpcbind (CESA-2017:1267)	high
100329	CentOS 7 : samba (CESA-2017:1265)	high
100328	CentOS 7 : kdelibs (CESA-2017:1264)	high
100327	CentOS 7 : libtirpc (CESA-2017:1263)	high
100326	CentOS 7 : rpcbind (CESA-2017:1262)	high
100175	CentOS 6 / 7 : ghostscript (CESA-2017:1230)	high
100174	CentOS 6 / 7 : jasper (CESA-2017:1208)	high
100068	CentOS 6：qemu-kvm (CESA-2017:1206)	critical
100067	CentOS 6 / 7：java-1.7.0-openjdk (CESA-2017:1204)	high
100066	CentOS 6 : bind (CESA-2017:1202)	high
100065	CentOS 6 / 7 : thunderbird (CESA-2017:1201)	critical
99541	CentOS 6 : java-1.8.0-openjdk (CESA-2017:1109)	high
99540	CentOS 7 : java-1.8.0-openjdk (CESA-2017:1108)	high
99539	CentOS 7 : firefox (CESA-2017:1106)	critical
99538	CentOS 6 : bind (CESA-2017:1105)	high
99537	CentOS 6 : firefox (CESA-2017:1104)	critical
99536	CentOS 6 / 7 : nss / nss-util (CESA-2017:1100)	critical
99483	CentOS 7 : bind (CESA-2017:1095)	high
99482	CentOS 7：qemu-kvm (CESA-2017:0987)	critical
99481	CentOS 6 : libreoffice (CESA-2017:0979)	medium
99384	CentOS 7 : tomcat (CESA-2017:0935)	high
99383	CentOS 7：内核 (CESA-2017:0933)	high
99382	CentOS 7：389-ds-base (CESA-2017:0920)	medium
99381	CentOS 7 : libreoffice (CESA-2017:0914)	medium
99380	CentOS 7 : util-linux (CESA-2017:0907)	medium
99379	CentOS 7 : httpd (CESA-2017:0906)	high
99317	CentOS 6：389-ds-base (CESA-2017:0893)	medium

检测

Nessus 的 CentOS Local Security Checks 系列

high

high

medium

medium

critical

critical

high

high

critical

high

high

high

high

critical

high

medium

high

high

high

high

critical

critical

high

high

high

high

high

high

high

high

critical

high

high

critical

high

high

critical

high

critical

critical

high

critical

medium

high

high

medium

medium

medium

high

medium