java-1.8.0-openjdk 的更新现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。

安全修复：

* 在 OpenJDK 的 JCE 组件中发现不受信任的库搜索路径缺陷。本地攻击者可利用此缺陷造成使用 JCE 的 Java 应用程序加载受攻击者控制的库，继而提升其权限。(CVE-2017-3511)

* 已发现 OpenJDK 的 JAXP 组件在解析 XML 文档时，未正确强制解析树的大小限制。可以使 Java 应用程序解析特制 XML 文档的攻击者，可利用此缺陷使其消耗过量 CPU 和内存。(CVE-2017-3526)

* 已发现 OpenJDK 的 Networking 组件中的 HTTP 客户端实现会缓存并复用不同安全环境中的 NTLM 身份验证连接。远程攻击者可能会利用此缺陷，使 Java 应用程序执行以其他用户凭证进行身份验证的 HTTP 请求。(CVE-2017-3509)

注意：此更新为 'jdk.ntlm.cache' 系统属性添加支持，当设置为错误时，可防止缓存 NTLM 连接和身份验证，从而防止发生此问题。
然而，默认仍启用缓存。

* 已发现 OpenJDK 的 Security 组件未允许用户限制用于 Jar 完整性验证的算法组。此缺陷允许攻击者修改使用弱签名密钥或哈希算法的 Jar 文件内容。
(CVE-2017-3539)

注意：此更新扩展了作为 RHSA-2016:2079 勘误一部分发布的 CVE-2016-5542 修复内容，通过将其添加到 jdk.jar.disabledAlgorithms 安全属性，在 Jar 完整性验证期间不再允许 MD5 哈希算法。

* 在 OpenJDK Networking 组件的 FTP 和 SMTP 客户端实现中发现换行符注入缺陷。远程攻击者可利用这些缺陷操纵由 Java 应用程序建立的 FTP 或 SMTP 连接。(CVE-2017-3533, CVE-2017-3544)

注意：安装由 icedtea-web 程序包提供的网页浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在无用户交互的情况下被利用。

缺陷补丁：

* 在目标 Java 虚拟机中使用 Java 调试线协议 (JDWP) 'invokeMethod' 命令调用一种方式时，JDWP 为方法调用中隐含的每个对象以及引用类型的返回参数创建全局引用。此前，在 'invokeMethod' 完成后，垃圾回收器未收集（解除分配）针对此类参数创建的全局引用。因此导致内存泄露，并由于从未释放针对此类对象的引用，调试应用程序会因为内存不足错误而终止。已修复此缺陷，不会再发生所述问题。
(BZ#1442162)

firefox 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一款开源网页浏览器。此更新将 Firefox 升级到版本 52.1.0 ESR。安全修复：* 在处理畸形 Web 内容时发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2017-5429, CVE-2017-5430, CVE-2017-5432, CVE-2017-5433, CVE-2017-5434, CVE-2017-5435, CVE-2017-5436, CVE-2017-5437, CVE-2017-5438, CVE-2017-5439, CVE-2017-5440, CVE-2017-5441, CVE-2017-5442, CVE-2017-5443, CVE-2017-5444, CVE-2017-5445, CVE-2017-5446, CVE-2017-5447, CVE-2017-5448, CVE-2017-5449, CVE-2017-5451, CVE-2017-5454, CVE-2017-5455, CVE-2017-5456, CVE-2017-5459, CVE-2017-5460, CVE-2017-5464, CVE-2017-5465, CVE-2017-5466, CVE-2017-5467, CVE-2017-5469) Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Mozilla 开发人员和社区成员 Nils、Holger Fuhrmannek、Atte Kettunen、Takeshi Terada、Huzaifa Sidhpurwala、Nicolas Gregoire、Chamal De Silva、Chun Han Hsiao、Google Project Zero 的 Ivan Fratric、与 Trend Micro Zero Day Initiative 合作的匿名人士、Haik Aftandilian、Paul Theriault、Julian Hector、Petr Cerny、Jordi Chancel、Google Skia 团队的 Heather Miller。

bind 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)；一个解析器库（与 DNS 接合时供应用程序使用的例程）；以及用于验证 DNS 服务器是否正常运行的工具。安全修复：* BIND 处理包含 CNAME 或 DNAME 资源记录（顺序异常）的查询响应方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷通过特制的 DNS 响应导致 named 意外退出并出现断言失败。(CVE-2017-3137) * 在 BIND 处理查询请求（同时使用 DNS64 及 break-dnssec yes’ 选项时）的方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷通过特制的 DNS 请求导致 named 意外退出并出现断言失败。(CVE-2017-3136) Red Hat 在此感谢 ISC 报告这些问题。上游感谢 CVE-2017-3136 的原始报告者 Oleg Gorokhov (Yandex)。

firefox 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一款开源网页浏览器。此更新将 Firefox 升级到版本 52.1.0 ESR。安全修复：* 在处理畸形 Web 内容时发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2017-5429, CVE-2017-5432, CVE-2017-5433, CVE-2017-5434, CVE-2017-5435, CVE-2017-5436, CVE-2017-5437, CVE-2017-5438, CVE-2017-5439, CVE-2017-5440, CVE-2017-5441, CVE-2017-5442, CVE-2017-5443, CVE-2017-5444, CVE-2017-5445, CVE-2017-5446, CVE-2017-5447, CVE-2017-5448, CVE-2017-5449, CVE-2017-5459, CVE-2017-5460, CVE-2017-5464, CVE-2017-5465, CVE-2017-5469) Red Hat 在此感谢 Mozilla 项目报告此问题。上游感谢原始报告者 Mozilla 开发人员和社区成员 Nils、Holger Fuhrmannek、Atte Kettunen、Huzaifa Sidhpurwala、Nicolas Gregoire、Chamal De Silva、Chun Han Hsiao、Google Project Zero 的 Ivan Fratric、与 Trend Micro Zero Day Initiative 合作的匿名人士，以及 Petr Cerny。

nss 和 nss-util 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。nss-util 程序包提供了可用于 Network Security Services (NSS) 库的实用工具。下列程序包已升级至更新的上游版本：nss (3.28.4)、nss-util (3.28.4)。安全修复：* 在 NSS 处理特定 Base64 解码操作的方式中发现越界写入缺陷。攻击者可利用此缺陷创建特制的证书，当通过 NSS 解析时，可造成其崩溃，或导致以运行针对 NSS 库编译的应用程序的用户权限执行任意代码。(CVE-2017-5461) Red Hat 在此感谢 Mozilla 项目报告此问题。上游感谢原始报告者 Ronald Crane。

bind 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)；一个解析器库（与 DNS 接合时供应用程序使用的例程）；以及用于验证 DNS 服务器是否正常运行的工具。安全修复：* BIND 处理包含 CNAME 或 DNAME 资源记录（顺序异常）的查询响应方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷通过特制的 DNS 响应导致 named 意外退出并出现断言失败。(CVE-2017-3137) * 在 BIND 处理查询请求（同时使用 DNS64 及 break-dnssec yes’ 选项时）的方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷通过特制的 DNS 请求导致 named 意外退出并出现断言失败。(CVE-2017-3136) Red Hat 在此感谢 ISC 报告这些问题。上游感谢 CVE-2017-3136 的原始报告者 Oleg Gorokhov (Yandex)。

qemu-kvm 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。基于内核的虚拟机 (KVM) 是针对多种架构上 Linux 的完全虚拟化解决方案。qemu-kvm 程序包提供了使用 KVM 运行虚拟机的用户空间组件。安全修复：* 在 QEMU 的 Cirrus CLGD 54xx VGA 仿真器的 VNC 显示驱动程序支持中，发现堆缓冲区溢出缺陷；若 VNC 客户端在来宾机执行 VGA 操作之后，尝试更新其显示，可能会发生此问题。来宾机中的特权用户/进程可利用此缺陷使 Qemu 进程崩溃，或可能在具有 QEMU 进程权限的主机上执行任意代码。(CVE-2016-9603)

libreoffice 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。LibreOffice 是由社区开发的开源办公应用套件。它包括主要的桌面应用程序，例如文字处理器、电子表格、演示文稿管理器、公式编辑器和绘图程序。LibreOffice 将替换 OpenOffice 并提供功能类似但进行过增强和扩展的办公套件。安全修复：* 已发现 LibreOffice 会泄露在嵌入对象预览中指定的文件内容。攻击者可利用此缺陷，通过构建的文档，公开将 LibreOffice 作为在线服务运行的系统详细信息。(CVE-2017-3157)

Tomcat 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。安全修复：* 已发现解析 HTTP 请求行的代码允许无效字符。可利用此缺陷，通过与同样允许无效字符但解释不同的代理结合，将数据注入 HTTP 响应。通过操控 HTTP 响应，攻击者可侵害 Web 缓存、执行 XSS 攻击或从非自身请求获得敏感信息。(CVE-2016-6816) 注意：此修复导致 Tomcat 在请求包含 HTTP 规范不允许以未编码形式显示的字符时（即使之前可以接受），响应以 HTTP 400 Bad Request 错误。新引入的系统属性 tomcat.util.http.parser.HttpParser.requestTargetAllow 可用于配置 Tomcat，使其接受未编码形式的大括号 ({ 和 }) 和管道符 (|)，因为 URL 中经常使用这些未正确编码的符号。* 在向 NIO HTTP 连接器发送文件代码的错误处理中发现缺陷。这导致当前处理器对象多次被添加至处理器缓存，造成包括但不限于会话 ID 和响应正文请求间的信息泄露。(CVE-2016-8745)

内核更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。这些更新后的内核程序包含数个安全问题与许多缺陷补丁。因篇幅所限，无法在此公告中一一记载这些缺陷补丁。若要查看缺陷补丁的完整列表，用户可访问以下网址阅读相关的知识文章：https://access.redhat.com/articles/2986951。安全修复：* 在 N_HLDC Linux 内核驱动访问可导致双重释放的 n_hdlc.tbuf 列表时，发现争用条件缺陷。可在 tty 设备上设置 HDLC 行规范的本地非特权用户，可利用此缺陷提升其系统权限。（CVE-2017-2636，重要）* 在 Linux 内核密钥管理子系统中发现缺陷，本地攻击者可通过提供特制的 RSA 密钥，致使内核崩溃，或损坏堆栈及其他内存（拒绝服务）。在 RSA 密钥验证期间，此缺陷致使机器损坏。（CVE-2016-8650，中等）* 在 Linux 内核针对 SO_{SND|RCV}BUFFORCE setsockopt() 系统调用的 setsockopt 实现中发现缺陷。具有非命名空间 CAP_NET_ADMIN 的用户可触发此调用，并创建出套接字 sendbuff 数据大小可能为负的情况。这会对内存分配产生不利影响，并创建导致系统崩溃或造成内存损坏的情况。（CVE-2016-9793，中等）* 在 Linux 内核处理清除 /proc/pid/attr 文件内 SELinux 属性的方式中发现缺陷。针对此文件的空写入，这会使系统尝试访问非映射的内核内存，从而导致系统崩溃。（CVE-2017-2618，中等）Red Hat 在此感谢 Alexander Popov 报告 CVE-2017-2636，以及 Ralf Spenneberg 报告 CVE-2016-8650。CVE-2017-2618 问题由 Paul Moore (Red Hat Engineering) 发现。

389-ds-base 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。389 目录服务器是与 LDAP 版本 3 (LDAPv3) 兼容的服务器。基础程序包中包含轻型目录访问协议 (LDAP) 服务器和用于管理服务器的命令行实用工具。安全修复：* 在 389-ds-base 处理 LDAP bind 请求的方式中发现无效指针取消引用缺陷。未经身份验证的远程攻击者会利用此缺陷，通过特制的 LDAP bind 请求，造成 ns-slapd 崩溃，从而导致拒绝服务。(CVE-2017-2668) Red Hat 在此感谢 Joachim Jabs (F24) 报告此问题。缺陷补丁：* 此前，在筛选器中添加使用 ‘nsrole’ 虚拟属性的筛选角色定义时，目录服务器意外终止。已采用一个修补程序，现在角色插件会忽略全部虚拟属性。因此，使用无效的筛选器时，会记录一条错误消息。此外，角色会停用，目录服务器因而不会再失败。(BZ#1429498) * 在复制拓扑中，删除大量条目时，目录服务器错误地计算字符串格式条目的大小。计算的条目大小比实际要求要小。因此，目录服务器分配的内存不足，并且当写入数据时发生意外终止。通过此更新，在所述情况下，字符串格式条目的大小现在可以正确计算，并且目录服务器不会再意外终止。(BZ#1429495)

libreoffice 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。LibreOffice 是由社区开发的开源办公应用套件。它包括主要的桌面应用程序，例如文字处理器、电子表格、演示文稿管理器、公式编辑器和绘图程序。LibreOffice 将替换 OpenOffice 并提供功能类似但进行过增强和扩展的办公套件。安全修复：* 已发现 LibreOffice 会泄露在嵌入对象预览中指定的文件内容。攻击者可利用此缺陷，通过构建的文档，公开将 LibreOffice 作为在线服务运行的系统详细信息。(CVE-2017-3157) 缺陷补丁：* 此前，不当的资源管理在关闭启用可访问性支持的对话框窗口后，导致 LibreOffice Calc 电子表格应用程序意外终止。已改善资源管理方式，所述问题不会再发生。(BZ#1425536) * 此前，当在密码保护的文档中输入错误密码时，文档被视作有效，并且尝试回退操作，以纯文本形式打开。因此，文档看似成功加载，却只显示加密的不可读内容。修复已完成，可在输入错误密码后终止导入尝试，现在，当输入错误密码时，不可加载任何内容。(BZ#1426348) * 此前，在启用可访问性支持的情况下，CSV（逗号分隔值）文件的文本导入对话框关闭后，不正确的资源管理导致 LibreOffice Calc 电子表格应用程序在退出期间意外终止。已改善资源管理方式，所述问题不会再发生。(BZ#1425535)

util-linux 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。util-linux 程序包中包含 Linux 系统正常运行所需的各种低层级系统实用工具。当中还包含 fdisk 配置工具和登录程序。安全修复：在 su 处理子流程管理的方式中发现争用条件。经身份验证的本地攻击者会利用此缺陷，在特定情况下，终止具有根权限的其他进程。(CVE-2017-2616) Red Hat 在此感谢 Tobias Stockmann 报告此问题。缺陷修复：* ‘findmnt --target ’ 命令会打印所有装入点目录为 的文件系统。此前，当在 chroot 环境中使用时，‘findmnt --target ’ 未正确显示所有装入点。已修复该命令，使其现在可检查装入点路径，并仅返回相关装入点信息。(BZ#1414481)

httpd 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。httpd 程序包提供 Apache HTTP Server（一款强大、高效、可扩展的 Web 服务器）。安全修复：* 已发现 httpd 的 mod_session_crypto 模块未使用任何机制，来验证存储于用户浏览器中加密会话数据的完整性。远程攻击者可利用此缺陷，使用 padding oracle 攻击来解密并修改会话数据。(CVE-2016-0736) * 已发现 httpd 的 mod_auth_digest 模块未正确检查内存分配是否失败。如果服务器使用 HTTP 摘要身份验证，远程攻击者会利用此缺陷，造成 httpd 子流程反复崩溃。(CVE-2016-2161) * 已发现 httpd 中的 HTTP 分析器错误地允许 HTTP 协议规范不允许以未编码形式显示在 HTTP 请求标头中的特定字符。如果 httpd 与以不同方式解释这些字符的代理或后端服务器一起使用，则远程攻击者可能会利用此缺陷将数据注入 HTTP 响应，从而导致代理缓存侵害。(CVE-2016-8743) 注意：针对 CVE-2016-8743 问题的修复导致 httpd 将 ‘400 Bad Request’ 错误返回未严格遵守 HTTP 协议规范的 HTTP 客户端。新引入的配置指令 ‘HttpProtocolOptions Unsafe’ 可用于重新启用不太严格的旧版解析。然而，此类设置也会重新引发 CVE-2016-8743 问题。缺陷补丁：* 在顺畅的重启期间唤醒子流程时，如果在重启前就有大量子流程已经激活，则 httpd 父流程可尝试打开超出所需的连接数量。因此，完成顺畅的重启会耗费大量时间。通过此更新，已修复 httpd，将在顺畅重启期间打开的连接数量限制为激活子进程的数量，所述问题不会再发生。(BZ#1420002) * 此前，当与 WebSocket 服务器间的连接关闭时，在容器中运行的 httpd 返回 500 HTTP 状态代码（内部服务器错误）。因此，httpd 服务器无法将正确的 HTTP 状态和数据传递给客户端。通过此更新，httpd 可正确处理所有针对 WebSocket 服务器的代理请求，所述问题不会再发生。(BZ#1429947) * 在使用具有 mod_authnz_ldap 模块的 LDAP 身份验证的配置中，以 AuthLDAPBindDN 指令设置的名称未正确用于针对所有查询绑定至 LDAP 服务器。因此，授权尝试失败。已修复 LDAP 模块，确保可针对 LDAP 查询正确绑定配置名称，使用 LDAP 进行身份验证的操作不会再失败。(BZ#1420047)

389-ds-base 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。389 目录服务器是与 LDAP 版本 3 (LDAPv3) 兼容的服务器。基础程序包中包含轻型目录访问协议 (LDAP) 服务器和用于管理服务器的命令行实用工具。安全修复：* 在 389-ds-base 处理 LDAP bind 请求的方式中发现无效指针取消引用缺陷。未经身份验证的远程攻击者会利用此缺陷，通过特制的 LDAP bind 请求，造成 ns-slapd 崩溃，从而导致拒绝服务。(CVE-2017-2668) Red Hat 在此感谢 Joachim Jabs (F24) 报告此问题。缺陷补丁：* 此前，‘deref’ 插件未能取消引用使用可分辨名称 (DN) 语法的属性，例如 ‘uniqueMember’。通过此修补程序，‘deref’ 插件可取消引用此类属性，以及 ‘Name and Optional UID’ 语法。因此，‘deref’ 插件现在支持任何语法。(BZ#1435365)

内核更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 在 N_HLDC Linux 内核驱动访问可导致双重释放的 n_hdlc.tbuf 列表时，发现争用条件缺陷。可在 tty 设备上设置 HDLC 行规范的本地非特权用户，可利用此缺陷提升其系统权限。（CVE-2017-2636，重要）* 在 Linux 内核的 seq_file 实现中发现缺陷，本地攻击者可在其中的 put() 函数指针中操纵内存。这会导致内存损坏和可能的权限提升。（CVE-2016-7910，中等）Red Hat 在此感谢 Alexander Popov 报告 CVE-2017-2636。缺陷补丁：* 此前，Chelsio 固件包含格式错误的固件 bin 文件。因此，无法刷新固件。此更新提供格式正确的固件 bin 文件。因此，现在可成功刷新 Chelsio 固件。(BZ#1433865) * 当多个同步进程尝试从 /proc/stat 文件中读取时，非一致性内存访问 (NUMA) 系统上生成旋转锁系统开销。因此消耗大量的 CPU。通过此更新，已修复底层源代码，以避免在中断行不存在时采用旋转锁。因此，如今的旋转锁系统开销生成频次少于以往，多个同步进程现在可读取 /proc/stat，而无需消耗大量 CPU。(BZ#1428106)

openjpeg 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。OpenJPEG 是用于读取和写入 JPEG 2000 格式图像文件的开源库。安全修复：在 OpenJPEG 中发现多种整数溢出缺陷，可导致基于堆的缓冲区溢出。特制的 JPEG2000 图像可导致使用 OpenJPEG 的应用程序崩溃或可能执行任意代码。(CVE-2016-5139, CVE-2016-5158, CVE-2016-5159, CVE-2016-7163) * 在 j2k_to_image 工具的 OpenJPEG 中发现越界读取漏洞。将特制的 JPEG2000 文件转换至另一格式，会导致应用程序崩溃，或可能泄露一些堆数据。(CVE-2016-9573) * 在 OpenJPEG 中发现基于堆的缓冲区溢出漏洞。当使用 OpenJPEG 的应用程序读取特制的 JPEG2000 图像时，可能导致应用程序崩溃，或可能执行任意代码。(CVE-2016-9675) Red Hat 在此感谢 Liu Bingchang (IIE) 报告 CVE-2016-9573。CVE-2016-9675 问题由 Doran Moppert（Red Hat 产品安全团队）发现。

icoutils 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Icoutils 是一组程序，用于提取并转换 Microsoft Windows 图标和光标文件中的图像。这些文件通常具有扩展名 .ico 或 .cur，但也可以嵌入可执行文件或库中。安全修复：* 在 wrestool 程序的 icoutils 中发现多个漏洞。攻击者会创建构建的可执行文件，当 wrestool 读取时，会造成内存损坏，从而导致崩溃或可能的代码执行。(CVE-2017-5208, CVE-2017-5333, CVE-2017-6009) * 在 wrestool 程序的 icoutils 中发现漏洞。攻击者会创建构建的可执行文件，当 wrestool 读取时，会造成分配失败，或过度 memcpy 操作，从而导致崩溃。(CVE-2017-5332) * 在 icotool 程序的 icoutils 中发现多个漏洞。攻击者会创建构建的 ICO 或 CUR 文件，当 icotool 读取时，会造成内存损坏，从而导致崩溃或可能的代码执行。(CVE-2017-6010, CVE-2017-6011)

内核更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 已发现远程攻击者可利用 IPv6 原子片段的生成，在任意 IPv6 流中触发片段的使用（在不需要数据包实际片段化的情况下），之后再对未实施 RFC6946 的旧式 IPv6 节点执行任何类型的片段化攻击。（CVE-2016-10142，中等）* 在 Linux 内核处理分页结构的方式中发现缺陷。当内核使本地未使用中的分页结构无效时，原则上其可与正切换至分页结构有问题的进程的其他 CPU 争用。如果有问题的转换可写入，且物理页因某种重要用途（例如，页表）而重用，则本地用户会利用一个线程（其运行陈旧缓存虚拟到物理的转换），来提升其权限。（CVE-2016-2069，中等）* 在 Linux 内核 aacraid 实现的 ioctl_send_fib() 函数中发现争用条件缺陷。本地攻击者会利用此缺陷，通过更改特定大小值，造成拒绝服务（越界访问或系统崩溃）。（CVE-2016-6480，中等）* 已发现当 gcc 堆栈保护程序启用时，由于堆栈损坏，读取 /proc/keys 文件会在 Linux 内核中引发恐慌。发生这种情况是因为使用错误的缓冲区大小，来保存 64 位以周呈现的超时值。（CVE-2016-7042，中等）* 已发现当通过 chmod 修改文件权限，并且进行修改的用户不在所属组或无法使用 CAP_FSETID 时，setgid 位将被清除。通过 setxattr 设置 POSIX ACL 可设置文件权限以及新 ACL，但无法以类似方式清除 setgid 位。这会使本地用户通过特定 setgid 应用程序，获得群组权限。（CVE-2016-7097，中等）* 在本地攻击者具有 CAP_NET_ADMIN 功能的 Linux 网络子系统中发现缺陷，可通过创建小于预期的 ICMP 标头并通过 sendto() 发送至其目标，从而造成越界内存访问问题。（CVE-2016-8399，中等）* 已发现 Linux 内核的块设备实现中的 blk_rq_map_user_iov() 函数未正确限制迭代器类型，这会导致本地攻击者可利用对 /dev/sg 设备的写入权限，来读取或写入任意内核内存位置，或造成拒绝服务（释放后使用）。（CVE-2016-9576，CVE-2016-10088，中等）* 在 USB-MIDI Linux 内核驱动中发现缺陷：可针对 ‘umidi’ 对象触发双重释放错误。具有系统物理访问权限的攻击者可利用此缺陷提升其权限。（CVE-2016-2384，低危） CVE-2016-7042 问题由 Ondrej Kozina (Red Hat) 发现，CVE-2016-7097 问题由 Andreas Gruenbacher (Red Hat) 和 Jan Kara (SUSE) 发现。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

quagga 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。quagga 程序包包含的 Quagga 是一个免费的网络路由软件套件，用于管理基于 TCP/IP 的协议。Quagga 支持 BGP4、BGP4+、OSPFv2、OSPFv3、RIPv1、RIPv2 和 RIPng 协议，可用作路由服务器和路由反射器。安全修复：* 在 Quagga 处理 IPv6 路由器广告消息的方式中发现一个基于堆栈的缓冲区溢出缺陷。远程攻击者可利用此缺陷来造成 zebra 后台程序崩溃，从而导致拒绝服务。(CVE-2016-1245) * 在 Quagga BGP 路由后台程序 (bgpd) 处理标签 VPN SAFI 路由数据的方式中发现一个基于堆栈的缓冲区溢出缺陷。远程攻击者可利用此缺陷来造成 bgpd 后台程序崩溃，从而导致拒绝服务。(CVE-2016-2342) * 在 Quagga BGP 路由后台程序 (bgpd) 中发现一个拒绝服务缺陷。在某些情况下，远程攻击者可通过发送特制的数据包，造成 bgpd 后台程序崩溃，从而导致拒绝服务。(CVE-2016-4049) * 在 Quagga 中发现一个影响多个后台程序的拒绝服务缺陷。远程攻击者可利用此缺陷，导致多个暴露其 telnet 接口的 Quagga 后台程序崩溃。(CVE-2017-5495) * 在 Quagga OSPFD 后台程序处理 LSA（链路状态通告）数据包的方式中发现一个基于堆栈的缓冲区溢出缺陷。远程攻击者可利用此缺陷来造成 ospfd 后台程序崩溃，从而导致拒绝服务。(CVE-2013-2236) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

samba4 更新现可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

Samba 是服务器消息块 (SMB) 或通用 Internet 文件系统 (CIFS) 协议的开源实现，允许兼容 PC 的计算机共享文件、打印机和其他信息。

安全补丁：

* 已发现当使用 Kerberos 验证时，Samba 总是请求可转发票证。使用 Kerberos 对 Samba 进行了身份验证的服务随后可能使用该票证对其他服务或域用户冒充 Samba。 (CVE-2016-2125)

* 在 Samba 处理 PAC（特权属性证书）校验和的方式中发现缺陷。经身份验证的远程攻击者可利用此缺陷使 winbindd 进程崩溃。 (CVE-2016-2126)

更多变更：

如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 版本说明与 Red Hat Enterprise Linux 6.9 技术札记。

bash 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Bash 程序包提供 Bash (Bourne-again shell)，此为 Red Hat Enterprise Linux 的默认 shell。安全修复：* 在 bash 处理主机名值的方式中发现任意命令注入缺陷。恶意 DHCP 服务器在特定情况下，会利用此缺陷在运行 bash 的 DHCP 客户端机器上执行任意命令。(CVE-2016-0634) * 在 bash 处理 SHELLOPTS 和 PS4 环境变量的方式中发现任意命令注入缺陷。经身份验证的本地攻击者会利用此缺陷，在某些情况下，通过编写不当的 setuid 程序提升其权限。(CVE-2016-7543) * 在 bash 处理 popd 命令的方式中发现拒绝服务缺陷。编写不当的 shell 脚本会造成 bash 崩溃，从而导致特定 bash 会话发生本地拒绝服务。(CVE-2016-9401) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

glibc 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。glibc 程序包提供了标准 C 库 (libc)、POSIX 线程库 (libpthread)、标准 math 库 (libm)，以及名称服务器缓存后台程序 (nscd)，供系统中的多个程序使用。如果没有这些库，Linux 系统无法正常工作。安全修复：* 在 nan* 函数中发现堆栈溢出漏洞，其可导致使用 nan 函数处理长字符串的应用程序崩溃，或可能执行任意代码。(CVE-2014-9761) * 已发现传递给 strftime() 函数的超出范围时间值，会导致越界内存访问问题。这会导致应用程序崩溃或可能的信息泄露。(CVE-2015-8776) * 在 hcreate() 和 hcreate_r() 函数中发现整数溢出漏洞，从而导致越界内存访问问题。这可能导致应用程序崩溃或可能执行任意代码。(CVE-2015-8778) * 在 catopen() 函数中发现基于堆栈的缓冲区溢出漏洞。传递给函数的超长字符串会导致崩溃，或可能执行任意代码。(CVE-2015-8779) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

samba 更新现可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

Samba 是服务器消息块 (SMB) 协议与相关通用 Internet 文件系统 (CIFS) 协议的开源实现，允许兼容 PC 的计算机共享文件、打印机和多种信息。

安全补丁：

* 已发现当使用 Kerberos 验证时，Samba 总是请求可转发票证。使用 Kerberos 对 Samba 进行了身份验证的服务随后可能使用该票证对其他服务或域用户冒充 Samba。 (CVE-2016-2125)

* 在 Samba 处理 PAC（特权属性证书）校验和的方式中发现缺陷。经身份验证的远程攻击者可利用此缺陷使 winbindd 进程崩溃。 (CVE-2016-2126)

更多变更：

如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 版本说明与 Red Hat Enterprise Linux 6.9 技术札记。

coreutils 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。coreutils 程序包中包含 GNU 核心实用工具，代表之前使用的 GNU fileutils、sh-utils 和 textutils 程序包组合。安全修复：在 su 处理子流程管理的方式中发现争用条件。经身份验证的本地攻击者会利用此缺陷，在特定情况下，终止具有根权限的其他进程。(CVE-2017-2616) Red Hat 在此感谢 Tobias Stockmann 报告此问题。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

openssh 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。OpenSSH 是多个 Linux、UNIX 和类似操作系统所支持的 SSH 协议实现。其中同时包括 OpenSSH 客户端和服务器所需的核心文件。安全修复：* 已发现 OpenSSH sshd 守护进程在运行登录程序之前，会获取 PAM 环境设置。在 UseLogin=yes 的配置，以及已配置为读取用户环境设置的 pam_env PAM 模块中，本地用户可利用此缺陷以根用户身份执行任意代码。(CVE-2015-8325) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

wireshark 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。wireshark 程序包中包含一个网络协议分析器，用于捕获和浏览计算机网络中运行的流量。安全修复：* 在 Wireshark 中发现多个拒绝服务缺陷。如果 Wireshark 读取了网络中的畸形数据包或打开恶意转储文件，它可能崩溃或停止响应。(CVE-2015-3811, CVE-2015-3812, CVE-2015-3813, CVE-2013-4075) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

tigervnc 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。虚拟网络计算 (VNC) 是一个远程显示系统，使用户不仅可以在运行计算桌面环境的机器上查看计算桌面环境，还可以从 Internet 上的任何位置以及各种计算机架构中进行查看。TigerVNC 是 VNC 服务器和客户端的套件。tigervnc 包含一个客户端，使用户可以连接到其他运行 VNC 服务器的桌面。安全修复：* 在 TigerVNC 的 Xvnc 服务器中发现拒绝服务缺陷。远程未经身份验证的攻击者可利用此缺陷，通过提早终止 TLS 握手进程，造成 Xvnc 崩溃。(CVE-2016-10207) * 在 TigerVNC 查看器中发现可导致内存损坏的缓冲区溢出缺陷。远程恶意 VNC 服务器可利用此缺陷，造成客户端 VNC 查看器进程崩溃，从而导致拒绝服务。(CVE-2017-5581) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

qemu-kvm 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。基于内核的虚拟机 (KVM) 是针对多种架构上 Linux 的完全虚拟化解决方案。qemu-kvm 程序包提供了使用 KVM 运行虚拟机的用户空间组件。安全修复：*在 QEMU 的 VGA 仿真器于 VBE 模式下设置某个 VGA 注册的方式中发现整数溢出缺陷和越界读取缺陷。来宾机特权用户可利用此缺陷使 QEMU 进程实例崩溃。(CVE-2016-3712) Red Hat 在此感谢 Zuozhi Fzz (Alibaba Inc.) 报告此问题。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

gnutls 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。gnutls 程序包提供 GNU 传输层安全 (GnuTLS) 库，可实现诸如 SSL、TLS 和 DTLS 的加密算法和协议。下列程序包已升级到更新的上游版本：gnutls (2.12.23)。(BZ#1321112, BZ#1326073, BZ#1415682, BZ#1326389) 安全修复：* 在连接握手期间，TLS/SSL 协议定义 ALERT 数据包的处理方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷，造成 TLS/SSL 服务器消耗过量 CPU，并无法接受其他客户端的连接。(CVE-2016-8610) * 在 gnutls 处理 OpenPGP 认证的方式中发现多个缺陷。攻击者会创建特制的 OpenPGP 认证，当由 gnutls 解析时会导致崩溃。(CVE-2017-5335, CVE-2017-5336, CVE-2017-5337) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

ocaml 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。OCaml 来自 ML 语言系列，是一种高级、强大型、功能性且面向对象的编程语言。ocaml 程序包包含两个批次编译器（一个快速字节码编译器和一个优化本机代码编译器）、一个交互式顶层系统、多种解析工具（Lex、Yacc、Camlp4）、一个回放调试程序、一个文档发生器以及一个完整的库。安全修复：* 在 OCaml 字符串处理其长度的方式中发现整数转换缺陷。某种针对超长字符串的操作会触发缓冲区溢出或导致信息泄露。(CVE-2015-8869) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

libguestfs 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。libguestfs 程序包中包含库，用作访问并修改虚拟机 (VM) 磁盘映象。安全修复：* 在 OCaml 字符串处理其长度的方式中发现整数转换缺陷。某种针对超长字符串的操作会触发缓冲区溢出或导致信息泄露。(CVE-2015-8869) 注意：在此公告中的 libguestfs 程序包使用 OCaml 的修复版本重建，以解决此问题。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 6.9 发行说明与 Red Hat Enterprise Linux 6.9 技术札记。

openjpeg 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。OpenJPEG 是用于读取和写入 JPEG 2000 格式图像文件的开源库。安全修复：在 OpenJPEG 中发现多种整数溢出缺陷，可导致基于堆的缓冲区溢出。特制的 JPEG2000 图像可导致使用 OpenJPEG 的应用程序崩溃或可能执行任意代码。(CVE-2016-5139, CVE-2016-5158, CVE-2016-5159, CVE-2016-7163) * 在 OpenJPEG 的 CVE-2013-6045 修补程序中发现漏洞。当使用 OpenJPEG 的应用程序读取特制的 JPEG2000 图像时，可能导致基于堆的缓冲区溢出，进而造成崩溃或可能导致任意代码执行。(CVE-2016-9675) CVE-2016-9675 问题由 Doran Moppert（Red Hat 产品安全团队）发现。

firefox 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一款开源网页浏览器。安全修复：* 在对畸形 Web 内容的处理中发现一个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2017-5428) Red Hat 在此感谢 Mozilla 项目报告此问题。上游感谢原始报告者 Chaitin Security Research Lab（通过 Trend Micro 的 Zero Day Initiative）。

tomcat6 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。安全修复：* 已发现解析 HTTP 请求行的代码允许无效字符。可利用此缺陷，通过与同样允许无效字符但解释不同的代理结合，将数据注入 HTTP 响应。通过操控 HTTP 响应，攻击者可侵害 Web 缓存、执行 XSS 攻击或从非自身请求获得敏感信息。(CVE-2016-6816) 注意：此修复导致 Tomcat 在请求包含 HTTP 规范不允许以未编码形式显示的字符时（即使之前可以接受），响应以 HTTP 400 Bad Request 错误。新引入的系统属性 tomcat.util.http.parser.HttpParser.requestTargetAllow 可用于配置 Tomcat，使其接受未编码形式的大括号 ({ 和 }) 和管道符 (|)，因为 URL 中经常使用这些未正确编码的符号。* 在向 NIO HTTP 连接器发送文件代码的错误处理中发现缺陷。这导致当前处理器对象多次被添加至处理器缓存，造成包括但不限于会话 ID 和响应正文请求间的信息泄露。(CVE-2016-8745)

thunderbird 更新现可用于 Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6 以及 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Thunderbird 是独立的邮件和新闻组客户端。此更新将 Thunderbird 升级到版本 45.8.0。安全修复：* 在处理畸形 Web 内容时发现多个缺陷。包含恶意内容的网页可能导致 Thunderbird 崩溃，或者可能以运行 Thunderbird 的用户的权限执行任意代码。(CVE-2017-5398, CVE-2017-5400, CVE-2017-5401, CVE-2017-5402, CVE-2017-5404, CVE-2017-5407, CVE-2017-5408, CVE-2017-5410, CVE-2017-5405) Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Nils、Jerri Rice、Rh0、Anton Eliasson、David Kohlbrenner、Google Project Zero 的 Ivan Fratric、匿名人士、Chrome Security 的 Eric Lawrence、Boris Zbarsky、Christian Holler、Honza Bambas、Jon Coppeard、Randell Jesup、Andre Bargull、Kan-Ru Chen、Nathan Froyd。

firefox 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一款开源网页浏览器。此更新将 Firefox 升级到版本 52.0 ESR。安全修复：* 在处理畸形 Web 内容时发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2017-5398, CVE-2017-5400, CVE-2017-5401, CVE-2017-5402, CVE-2017-5404, CVE-2017-5407, CVE-2017-5408, CVE-2017-5410, CVE-2017-5405) Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Nils、Jerri Rice、Rh0、Anton Eliasson、David Kohlbrenner、Google Project Zero 的 Ivan Fratric、匿名人士、Chrome Security 的 Eric Lawrence、Boris Zbarsky、Christian Holler、Honza Bambas、Jon Coppeard、Randell Jesup、Andre Bargull、Kan-Ru Chen、Nathan Froyd。

firefox 更新现可用于 Red Hat Enterprise Linux 5 和 Red Hat Enterprise Linux 6。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Firefox 是一款开源网页浏览器。此更新将 Firefox 升级到版本 45.8.0 ESR。安全修复：* 在处理畸形 Web 内容时发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。(CVE-2017-5398, CVE-2017-5400, CVE-2017-5401, CVE-2017-5402, CVE-2017-5404, CVE-2017-5407, CVE-2017-5408, CVE-2017-5410, CVE-2017-5405) Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Nils、Jerri Rice、Rh0、Anton Eliasson、David Kohlbrenner、Google Project Zero 的 Ivan Fratric、匿名人士、Chrome Security 的 Eric Lawrence、Boris Zbarsky、Christian Holler、Honza Bambas、Jon Coppeard、Randell Jesup、Andre Bargull、Kan-Ru Chen、Nathan Froyd。

kvm 更新现可用于 Red Hat Enterprise Linux 5。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。KVM（基于内核的虚拟机）是针对 x86 硬件上 Linux 的完全虚拟化解决方案。使用 KVM，可运行多个在运行未修改 Linux 或 Windows 图像的虚拟机。每个虚拟机均拥有专用虚拟化硬件：网卡、磁盘、图形适配器等。安全修复：* 置有 Cirrus CLGD 54xx VGA 仿真器支持的快速仿真器 (QEMU) 容易受到越界访问问题的攻击。在后向模式下以 bitblt 副本的方式复制 VGA 数据时，会发生上述情况。来宾机中的特权用户可利用此缺陷使 QEMU 进程崩溃，进而导致 DoS，或可能在主机上以 QEMU 进程的权限执行任意代码。(CVE-2017-2615) * 置有 Cirrus CLGD 54xx VGA 仿真器支持的快速仿真器 (QEMU) 容易受到越界访问问题的攻击。此问题在 cirrus_bitblt_cputovideo 中复制 VGA 数据时会发生。来宾机中的特权用户可利用此缺陷使 QEMU 进程崩溃，或可能在具有 QEMU 进程权限的主机上执行任意代码。(CVE-2017-2620) Red Hat 在此感谢 Wjjzhang (Tencent.com Inc.) 和 Li Qiang (360.cn Inc.) 报告 CVE-2017-2615。

内核更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 置有基于内核的虚拟机 (CONFIG_KVM) 支持的 Linux 内核容易受到空指针取消引用缺陷的攻击。在 x86 平台上模拟不明指令时，会发生上述问题。攻击者可利用此缺陷使主机内核崩溃，进而导致 DoS。（CVE-2016-8630，重要）* 在 Linux 内核网络子系统中的原始数据包套接字实现处理同步的方式中（创建 TPACKET_V3 环形缓冲区时），发现导致释放后使用缺陷的争用条件问题。可打开原始数据包套接字的本地用户（需具备 CAP_NET_RAW 能力）可利用此缺陷，提升其系统权限。（CVE-2016-8655，中等）* 在 Linux 内核的 VFIO 实现中发现缺陷。发出 ioctl 的攻击者会造成内存损坏的状况，并修改预期区域外的内存。这会覆盖内核内存并破坏内核执行。（CVE-2016-9083，重要）* 采用整数乘法运算的 kzalloc 可使 vfio_pci_intrs.c 发生整数溢出条件。若结合 CVE-2016-9083 问题，攻击者可发起攻击，并使用未分配内存导致机器崩溃。（CVE-2016-9084，中等）Red Hat 在此感谢 Philip Pettersson 报告 CVE-2016-8655。其他更改：因空间所限，无法在此公告中记录所有这些缺陷补丁与增强功能。若要查看缺陷补丁与增强功能的完整列表，请参阅下列知识库文章：https://access.redhat.com/articles/ 2940041。

qemu-kvm 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。基于内核的虚拟机 (KVM) 是针对多种架构上 Linux 的完全虚拟化解决方案。qemu-kvm 程序包提供了使用 KVM 运行虚拟机的用户空间组件。安全修复：* 置有 Cirrus CLGD 54xx VGA 仿真器支持的快速仿真器 (QEMU) 容易受到越界访问问题的攻击。在后向模式下以 bitblt 副本的方式复制 VGA 数据时，会发生上述情况。来宾机中的特权用户可利用此缺陷使 QEMU 进程崩溃，进而导致 DoS，或可能在主机上以 QEMU 进程的权限执行任意代码。(CVE-2017-2615) * 置有 Cirrus CLGD 54xx VGA 仿真器支持的快速仿真器 (QEMU) 容易受到越界访问问题的攻击。此问题在 cirrus_bitblt_cputovideo 中复制 VGA 数据时会发生。来宾机中的特权用户可利用此缺陷使 QEMU 进程崩溃，或可能在具有 QEMU 进程权限的主机上执行任意代码。(CVE-2017-2620) Red Hat 在此感谢 Wjjzhang (Tencent.com Inc.) 和 Li Qiang (360.cn Inc.) 报告 CVE-2017-2615。缺陷补丁：* 在虚拟硬盘中没有空间的来宾虚拟机上使用 virtio-blk 驱动时，来宾机意外终止，出现“设备中块 I/O 错误”消息，并且 qemu-kvm 进程因分段错误而退出。此更新修复了在上述情况中处理 system_reset QEMU 信号的方式。因此，如果来宾机由于设备空间不足而崩溃，则 qemu-kvm 会继续运行，并且来宾机会按预期重置。(BZ#1420049)

ipa 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat 身份管理 (IdM) 是一种集中式的认证、身份管理和授权解决方案，同时适用传统企业环境和基于云的企业环境。安全修复：* 已发现 IdM 的 ca-del、ca-disable 和 ca-enable 命令，在 Dogtag 中修改 CA 时，未正确检查用户权限。经身份验证和未经身份验证的攻击者可利用此缺陷，删除、禁用或启用 CA，从而导致有关证书颁发、OCSP 签名和删除密钥等多种拒绝服务问题。(CVE-2017-2590) 此问题由 Fraser Tweedale (Red Hat) 发现。缺陷补丁：* 此前，在域级 '1' 或更高域级上运行的身份管理 (IdM) 副本安装期间，目录服务器未配置为使用 TLS 加密。因此，在此副本上安装认证机构 (CA) 失败。目录服务器现在配置为在副本安装期间，使用 TLS 加密，因此，CA 安装作业可按预期进行。(BZ#1410760) * 身份管理 (IdM) 公钥基础架构 (PKI) 组件配置为侦听 ‘::1’ IPv6 localhost 地址。在 IPv6 协议禁用的环境中，副本安装程序无法检索目录服务器认证，安装因而失败。PKI 连接器的默认侦听地址已从 IP 地址更新为 ‘localhost’。因此，在 IPv4 和 IPv6 环境中，PKI 连接器现在于正确的地址上侦听。(BZ#1416481) * 此前，当在副本上安装认证机构 (CA) 时，身份管理 (IdM) 无法向证书系统 CA 安装程序提供第三方 CA 认证。因此，如果远程母版使用第三方服务器认证，则安装程序无法连接至该远程母版，安装因而失败。此更新采用修补程序，因此安装 CA 副本在所述情况下，会按预期进行。(BZ#1415158) * 当安装副本时，身份管理 (IdM) 母版上会创建 Web 服务器服务条目，且会复制到所有 IdM 服务器中。此前，当安装不具备认证机构 (CA) 的副本时，在某些情况，服务条目并未及时复制到新副本，安装因而失败。已更新副本安装程序，现在等待 Web 服务器服务条目复制完成。因此，在所述情况下，副本安装不会再失败。(BZ#1416488)

qemu-kvm 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。基于内核的虚拟机 (KVM) 是针对多种架构上 Linux 的完全虚拟化解决方案。qemu-kvm 程序包提供了使用 KVM 运行虚拟机的用户空间组件。安全修复：* 置有 Cirrus CLGD 54xx VGA 仿真器支持的快速仿真器 (QEMU) 容易受到越界访问问题的攻击。此问题在 cirrus_bitblt_cputovideo 中复制 VGA 数据时会发生。来宾机中的特权用户可利用此缺陷使 QEMU 进程崩溃，或可能在具有 QEMU 进程权限的主机上执行任意代码。(CVE-2017-2620)

内核更新现可用于 Red Hat Enterprise Linux 5。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 当在套接字上设置 IPv6_RECVPKTINFO 选项时，在 Linux 内核的 Datagram Congestion Control Protocol (DCCP) 实现释放 DCCP_PKT_REQUEST 数据包的 SKB（套接字缓存区）资源的方式中发现释放后使用缺陷。本地非特权用户可利用此缺陷更改内核内存，使其提升系统权限。（CVE-2017-6074，重要）* 已发现 Linux 内核的 Datagram Congestion Control Protocol (DCCP) 实现针对 IPv4 和 IPv6 DCCP 连接使用 IPv4-only inet_sk_rebuild_header() 函数，从而导致内存损坏。远程攻击者可利用此缺陷造成系统崩溃。（CVE-2017-2634，中等）重要：此更新通过使用内核模块黑名单的方式，在加载时间禁用 DCCP 内核模块。此模块已禁用，以减少发生其他问题的几率。请参阅 Red Hat Bugzilla (BZ#1425177)，获取更多信息。Red Hat 在此感谢 Andrey Konovalov (Google) 报告 CVE-2017-6074。CVE-2017-2634 问题由 Wade Mealing（Red Hat 产品安全团队）发现。

qemu-kvm 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。基于内核的虚拟机 (KVM) 是针对多种架构上 Linux 的完全虚拟化解决方案。qemu-kvm 程序包提供了使用 KVM 运行虚拟机的用户空间组件。安全修复：* 置有 Cirrus CLGD 54xx VGA 仿真器支持的快速仿真器 (Qemu) 容易受到越界访问问题的攻击。在后向模式下以 bitblt 副本的方式复制 VGA 数据时，会发生上述情况。来宾机中的特权用户可利用此缺陷使 Qemu 进程崩溃，进而导致 DoS，或可能在主机上以 Qemu 进程的权限执行任意代码。(CVE-2017-2615) * 在置有 IP 校验和例程的 QEMU 仿真器中发现越界读取访问缺陷。由于 QEMU 函数使用数据包负载长度，但没有依据数据缓冲区大小进行检查，所以计算 TCP/UDP 数据包校验和时会发生此缺陷。来宾机中的用户可利用此缺陷使 QEMU 进程崩溃（拒绝服务）。(CVE-2016-2857) Red Hat 在此感谢 Wjjzhang (Tencent.com Inc.) 和 Li Qiang (360.cn Inc.) 报告 CVE-2017-2615，以及 Ling Liu (Qihoo 360 Inc.) 报告 CVE-2016-2857。此更新也会修复下列缺陷：* 此前，由于未正确清理 virtqueue，短时间内重新启动来宾虚拟机超过 128 次，造成来宾机关闭而非重启。此更新确保以更稳妥的方式清理 virtqueue，从而防止发生所述问题。(BZ#1408389) 建议所有 qemu-kvm 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装此更新后，关闭所有正在运行的虚拟机。关闭所有虚拟机后，重新启动它们才能使此更新生效。

内核更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 当为已执行的子进程创建参数的审计记录时，攻击者可诱使 Linux 内核审计子系统创建损坏的记录，让攻击者得以歪曲或逃避执行命令日志。（CVE-2016-6136，中等）* 在 Linux 内核的 SCTP 协议实现中发现缺陷。远程攻击者会触发偏移高达高达 64kB 的越界读取，可能造成系统崩溃。（CVE-2016-9555，中等）缺陷补丁：* qlnic 驱动此前尝试在所有写入完成之前提取待定传输描述符，导致固件悬挂。通过此更新，已修复 qlcnic 驱动，以在硬件提取任何待定传输描述符之前完成所有写入。因此，固件不会再发生 qlcnic 驱动悬挂。(BZ#1403143) * 此前，装载 NFS 共享时，即使未在装载命令中使用 ‘-o fsc’ 选项，也会错误启用文件系统 (FS) 缓存。因此，即使用户未下指示，cachefilesd 服务也会在 NFS 共享中存储文件。通过此更新，如果 ‘-o fsc’ 选项没有指示，则 NFS 不使用 FS 缓存。因此，如果未使用 ‘-o fsc’ 选项，则 NFS 不会再启用缓存。(BZ#1399172) * 此前，当 current_fileid 计数器通过溢出 32 位值到达环绕点时，NFS 客户端和 NFS 服务器会陷入涉及写入操作和 NFS4ERR_EXPIRED 响应的 NFS4 协议循环中。此更新修复了 NFS 服务器，以处理 current_fileid 环绕。因此，不会再发生上述 NFS4 协议循环。(BZ#1399174) * 此前，当 HPSA 驱动按照预期等待现有 I/O 操作完成时，Hewlett Packard Smart Array (HPSA) 设备的配置会造成硬件误设为离线。因此，出现内核恐慌。此更新防止出现所述问题。因此，不会再发生内核恐慌。(BZ#1399175) * 此前，由于 __copy_tofrom_user() 函数返回错误值，所以有时因复制数据至错误内存位置而发生内存损坏。此更新修复了 __copy_tofrom_user() 函数，所以不会再返回比要求复制的字节数更大的值。因此，在所述情况下，不会再发生内存损坏。(BZ#1398185) * 此前，Hyper-V 服务器群集上的来宾虚拟机 (Vms) 在某些情况下，会于正常节点故障转移测试过程中重新启动，因为主机独立于有所响应的来宾，不断发送检测信号数据包。此更新通过正确响应队列中（即使为待定）所有检测信号消息，来修复缺陷。因此，在所述情况下，来宾 VM 不会再重新启动。(BZ#1397739) * 当 fallocate 实用工具的“打洞”功能应用于深度为 1 的 ext4 文件系统 inode 上时，inode 的区段树有时会发生损坏。通过此更新，已修复底层源代码，在所述情况下，不会再损坏区段树。(BZ#1397808)

内核更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 当在套接字上设置 IPv6_RECVPKTINFO 选项时，在 Linux 内核的 Datagram Congestion Control Protocol (DCCP) 实现释放 DCCP_PKT_REQUEST 数据包的 SKB（套接字缓存区）资源的方式中发现释放后使用缺陷。本地非特权用户可利用此缺陷更改内核内存，使其提升系统权限。（CVE-2017-6074，重要）

内核更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。安全修复：* 当在套接字上设置 IPv6_RECVPKTINFO 选项时，在 Linux 内核的 Datagram Congestion Control Protocol (DCCP) 实现释放 DCCP_PKT_REQUEST 数据包的 SKB（套接字缓存区）资源的方式中发现释放后使用缺陷。本地非特权用户可利用此缺陷更改内核内存，使其提升系统权限。（CVE-2017-6074，重要）

openssl 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。OpenSSL 是用于实现安全套接字层 (SSL) 和传输层安全 (TLS) 协议以及强大的通用密码库的工具包。安全修复：* 在 OpenSSL 中发现整数下溢，从而导致越界读取缺陷。远程攻击者可能利用此缺陷，让使用 OpenSSL（如果使用 RC4-MD5 密码套件，）的 32 位 TLS/SSL 服务器或客户端崩溃。(CVE-2017-3731) * 在连接握手期间，TLS/SSL 协议定义 ALERT 数据包的处理方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷，造成 TLS/SSL 服务器消耗过量 CPU，并无法接受其他客户端的连接。(CVE-2016-8610)

bind 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。BIND 包含一个 DNS 服务器 (named)；一个解析器库（与 DNS 接合时供应用程序使用的例程）；以及用于验证 DNS 服务器是否正常运行的工具。安全修复：* 同时使用 DNS64 和 RPZ 时，在 BIND 处理查询响应的方式中发现拒绝服务缺陷。远程攻击者可利用此缺陷通过特制的 DNS 响应导致 named 意外退出并出现断言失败或空指针取消引用。(CVE-2017-3135) Red Hat 在此感谢 ISC 报告此问题。上游感谢原始报告者 Ramesh Damodaran (Infoblox) 和 Aliaksandr Shubnik (Infoblox)。

ID	名称	严重性
99540	CentOS 7 java-1.8.0-openjdk (CESA-2017:1108)	high
99539	CentOS 7 : firefox (CESA-2017:1106)	critical
99538	CentOS 6 : bind (CESA-2017:1105)	high
99537	CentOS 6 : firefox (CESA-2017:1104)	critical
99536	CentOS 6 / 7 : nss / nss-util (CESA-2017:1100)	critical
99483	CentOS 7 : bind (CESA-2017:1095)	high
99482	CentOS 7：qemu-kvm (CESA-2017:0987)	critical
99481	CentOS 6 : libreoffice (CESA-2017:0979)	medium
99384	CentOS 7 : tomcat (CESA-2017:0935)	high
99383	CentOS 7：内核 (CESA-2017:0933)	high
99382	CentOS 7：389-ds-base (CESA-2017:0920)	medium
99381	CentOS 7 : libreoffice (CESA-2017:0914)	medium
99380	CentOS 7 : util-linux (CESA-2017:0907)	medium
99379	CentOS 7 : httpd (CESA-2017:0906)	high
99317	CentOS 6：389-ds-base (CESA-2017:0893)	medium
99316	CentOS 6 : 内核 (CESA-2017:0892)	high
99041	CentOS 7 : openjpeg (CESA-2017:0838)	high
99040	CentOS 7 : icoutils (CESA-2017:0837)	high
97962	CentOS 6 : 内核 (CESA-2017:0817)	high
97961	CentOS 6 : quagga (CESA-2017:0794)	critical
97960	CentOS 6：samba4 (CESA-2017:0744)	medium
97959	CentOS 6 : bash (CESA-2017:0725)	high
97958	CentOS 6 : glibc (CESA-2017:0680)	critical
97957	CentOS 6samba (CESA-2017:0662)	medium
97956	CentOS 6 : coreutils (CESA-2017:0654)	medium
97955	CentOS 6 : openssh (CESA-2017:0641)	high
97954	CentOS 6 : wireshark (CESA-2017:0631)	high
97953	CentOS 6 : tigervnc (CESA-2017:0630)	critical
97952	CentOS 6：qemu-kvm (CESA-2017:0621)	medium
97951	CentOS 6 : gnutls (CESA-2017:0574)	critical
97950	CentOS 6 : ocaml (CESA-2017:0565)	critical
97949	CentOS 6：libguestfs (CESA-2017:0564)	critical
97837	CentOS 6 : openjpeg (CESA-2017:0559)	high
97836	CentOS 7 : firefox (CESA-2017:0558)	critical
97795	CentOS 6：tomcat6 (CESA-2017:0527)	high
97756	CentOS 5 / 6 / 7：thunderbird (CESA-2017:0498)	critical
97613	CentOS 7：firefox (CESA-2017:0461)	critical
97612	CentOS 5 / 6 : firefox (CESA-2017:0459)	critical
97611	CentOS 5：kvm (CESA-2017:0454)	critical
97558	CentOS 7：内核 (CESA-2017:0386)	high
97528	CentOS 7：qemu-kvm (CESA-2017:0396)	critical
97527	CentOS 7 : ipa (CESA-2017:0388)	high
97472	CentOS 6：qemu-kvm (CESA-2017:0352)	critical
97391	CentOS 5：kernel (CESA-2017:0323)	high
97390	CentOS 6：qemu-kvm (CESA-2017:0309)	critical
97389	CentOS 6 : 内核 (CESA-2017:0307)	critical
97331	CentOS 7：内核 (CESA-2017:0294)	high
97330	CentOS 6 : 内核 (CESA-2017:0293)	high
97305	CentOS 6 / 7 : openssl (CESA-2017:0286)	high
97194	CentOS 7 : bind (CESA-2017:0276)	medium

检测

Nessus 的 CentOS Local Security Checks 系列

high

critical

high

critical

critical

high

critical

medium

high

high

medium

medium

medium

high

medium

high

high

high

high

critical

medium

high

critical

medium

medium

high

high

critical

medium

critical

critical

critical

high

critical

high

critical

critical

critical

critical

high

critical

high

critical

high

critical

critical

high

high

high

medium