更新后的 php53 程序包修复了多种安全问题和多个缺陷并添加了一项增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

PHP 是一种嵌入了 HTML 的脚本语言，通常用于 Apache HTTP Server。

已发现 PHP 未正确处理含空字符的文件名。远程攻击者可能利用此缺陷导致 PHP 脚本访问意外文件，并绕过预期文件系统访问限制。(CVE-2006-7243)

已发现 PHP 未检查 HTTP 标头中的回车符，从而允许绕过预期 HTTP 响应拆分保护。根据受害者使用的 Web 浏览器，远程攻击者可利用此缺陷执行 HTTP 响应拆分攻击。(CVE-2011-1398)

当处理主机名含有空字节的证书时，在 PHP 的 SSL 客户端的主机名身份检查中发现一个缺陷。如果攻击者能够获取精心构建的受信证书颁发机构签署的证书，则攻击者可使用证书执行中间人攻击以欺骗 SSL 服务器。
(CVE-2013-4248)

在 PHP scandir() 函数中发现一个导致基于堆的缓冲区下溢的整数符号问题。如果远程攻击者可将大量文件上传到 scandir() 函数运行的目录，可导致 PHP 解释器崩溃或可能执行任意代码。(CVE-2012-2688)

已发现 PHP 未正确处理 magic_quotes_gpc 配置指令。这可导致不会在所有情况下应用 magic_quotes_gpc 输入转义，并可能使远程攻击者更容易执行 SQL 注入攻击。(CVE-2012-0831)

已发现 PHP SOAP 解析器允许在 SOAP 消息解析过程中扩展外部 XML 实体。远程攻击者可能利用此缺陷使用 SOAP 扩展读取 PHP 应用程序可访问的任意文件。
(CVE-2013-1643)

这些更新后的 php53 程序包还包括大量缺陷补丁和增强。空间有限，无法在此公告中记载所有这些更改。有关这些最重要的变更的信息，用户可参阅在“参考”部分中链接的 Red Hat Enterprise Linux 5.10 技术札记。

建议所有 PHP 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并且添加了此项增强。安装更新后的程序包后，必须重新启动 httpd 后台程序才能使更新生效。

更新后的 xinetd 程序包修复了一个安全问题和两个缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

xinetd 程序包可安全替换 inetd，Internet 服务后台程序。xinetd 根据远程主机的地址和/或访问时间对所有服务提供访问控制，并可防止拒绝服务攻击。

当 xinetd 服务使用“TCPMUX”或“TCPMUXPLUS”类型配置且 tcpmux-server 服务启用时，这些服务可通过端口 1 访问。已发现启用 tcpmux-server 服务（默认禁用）允许每项 xinetd 服务（包括未使用“TCPMUX”或“TCPMUXPLUS”类型配置的服务）都可通过端口 1 访问。这可允许远程攻击者绕过预期的防火墙限制。
(CVE-2012-0862)

Red Hat 在此感谢 FedEx 的 Thomas Swan 报告此问题。

此更新还修复以下缺陷：

* 在此更新之前，未按预期处理 service.c 源文件中的文件描述符数组。因此，当 xinetd 在重负载下时，有些描述符保持开放。
此外，随着时间的流逝，系统日志会填充大量消息，占用大量磁盘空间。此更新修改了 xinetd 代码，可正确处理文件描述符，而且消息不再填充系统日志。(BZ#852274)

* 在此更新之前，服务在达到其 CPS 限制后会永久禁用。因此，当 xinetd 尝试重新启动该服务时，可能发生失败的绑定操作。此更新添加了其他尝试重新启动该服务的逻辑。现在，该服务仅当 xinetd 在 30 次尝试后无法重新启动服务时才会禁用。(BZ#811000)

建议所有 xinetd 用户升级此更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

更新后的 php 程序包修复了三个安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

PHP 是一种嵌入了 HTML 的脚本语言，通常用于 Apache HTTP Server。

在 Exif 扩展中发现缓冲区溢出缺陷。特别构建的 JPEG 或 TIFF 文件可导致使用 exif_thumbnail() 函数的 PHP 应用程序崩溃，或可能以运行该 PHP 应用程序的用户的权限来执行任意代码。
(CVE-2014-3670)

在 xmlrpc 扩展解析 ISO 8601 格式的日期的方式中发现基于堆栈的缓冲区溢出缺陷。特别构建的 XML-RPC 请求或响应可能导致 PHP 应用程序崩溃。(CVE-2014-8626)

在反序列化自定义对象的方式中发现一个整数溢出缺陷。由 unserialize() 函数处理的特别构建的输入可导致 PHP 应用程序崩溃。(CVE-2014-3669)

建议所有 php 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，必须重新启动 httpd 后台程序才能使更新生效。

更新后的 mod_auth_mellon 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

mod_auth_mellon 为 Apache HTTP Server 提供 SAML 2.0 认证模块。

在 mod_auth_mellon 的会话处理中发现信息泄露缺陷，可能导致内存中发生会话重叠。远程攻击者可能利用此缺陷从其他用户会话获取数据。(CVE-2014-8566)

已发现在处理用户的注销请求时可以读取未初始化的数据。通过尝试注销，用户可能导致 Apache HTTP Server 崩溃。(CVE-2014-8567)

Red Hat 在此感谢 mod_auth_mellon 团队报告这些问题。上游感谢 CVE-2014-8566 的原始报告者 Matthew Slowe。

建议所有 mod_auth_mellon 用户升级此更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

更新后的 cups-filters 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

cups-filters 程序包包含后端、过滤器和其他软件，它们曾经是核心 CUPS 分发的一部分，但现在独立维护。

在 cups-browsed 的 process_browse_data() 函数处理某些浏览数据包的方式中发现越界读取缺陷。通过 cups-browsed 进行处理时，远程攻击者可发送特别构建的浏览数据包，从而导致 cups-browsed 后台程序崩溃。(CVE-2014-4337)

在 cups-browsed 后台程序解释 cups-browsed.conf 文件中的“BrowseAllow”指令的方式中发现一个缺陷。能够向 cups-browsed.conf 文件添加畸形“BrowseAllow”指令的攻击者可利用此缺陷绕过预期访问限制。(CVE-2014-4338)

建议所有 cups-filters 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。
安装此更新后，将自动重新启动 cups-browsed 后台程序。

更新后的 php53 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

PHP 是一种嵌入了 HTML 的脚本语言，通常用于 Apache HTTP Server。

在 Exif 扩展中发现缓冲区溢出缺陷。特别构建的 JPEG 或 TIFF 文件可导致使用 exif_thumbnail() 函数的 PHP 应用程序崩溃，或可能以运行该 PHP 应用程序的用户的权限来执行任意代码。
(CVE-2014-3670)

在反序列化自定义对象的方式中发现一个整数溢出缺陷。由 unserialize() 函数处理的特别构建的输入可导致 PHP 应用程序崩溃。(CVE-2014-3669)

在文件信息 (fileinfo) 扩展解析可执行和可链接格式 (ELF) 文件的方式中发现越界读取缺陷。远程攻击者可利用此缺陷，通过特别构建的 ELF 文件导致使用 fileinfo 的 PHP 应用程序崩溃。
(CVE-2014-3710)

在 xmlrpc 扩展解析 ISO 8601 格式的日期的方式中发现越界读取缺陷。特别构建的 XML-RPC 请求或响应可能导致 PHP 应用程序崩溃。
(CVE-2014-3668)

CVE-2014-3710 问题由 Red Hat 产品安全的 Francisco Alonso 发现。

建议所有 php53 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，必须重新启动 httpd 后台程序才能使更新生效。

更新后的 php 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

PHP 是一种嵌入了 HTML 的脚本语言，通常用于 Apache HTTP Server。

在 Exif 扩展中发现缓冲区溢出缺陷。特别构建的 JPEG 或 TIFF 文件可导致使用 exif_thumbnail() 函数的 PHP 应用程序崩溃，或可能以运行该 PHP 应用程序的用户的权限来执行任意代码。
(CVE-2014-3670)

在反序列化自定义对象的方式中发现一个整数溢出缺陷。由 unserialize() 函数处理的特别构建的输入可导致 PHP 应用程序崩溃。(CVE-2014-3669)

在文件信息 (fileinfo) 扩展解析可执行和可链接格式 (ELF) 文件的方式中发现越界读取缺陷。远程攻击者可利用此缺陷，通过特别构建的 ELF 文件导致使用 fileinfo 的 PHP 应用程序崩溃。
(CVE-2014-3710)

在 xmlrpc 扩展解析 ISO 8601 格式的日期的方式中发现越界读取缺陷。特别构建的 XML-RPC 请求或响应可能导致 PHP 应用程序崩溃。
(CVE-2014-3668)

CVE-2014-3710 问题由 Red Hat 产品安全的 Francisco Alonso 发现。

建议所有 php 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，必须重新启动 httpd 后台程序才能使更新生效。

更新后的 wget 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

wget 程序包为 HTTP、HTTPS 和 FTP 协议提供 GNU Wget 文件检索实用工具。

在 Wget 处理符号链接的方式中发现一个缺陷。恶意 FTP 服务器允许以镜像模式运行的 Wget 以运行 Wget 的用户身份将任意文件写入可写入的位置（使用“-m”命令行选项），从而可导致代码执行。
(CVE-2014-4877)

注意：此更新会更改 --retr-symlinks 选项的默认值。现在默认遍历文件符号链接并会找回 pointed-to 文件，而不是在本地创建符号链接。

Red Hat 在此感谢 GNU Wget 项目报告此问题。上游感谢原始报告者 HD Moore of Rapid7, Inc。

建议所有 wget 用户升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

更新后的 kernel 程序包修复了多个安全问题和缺陷，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

内核程序包中包含 Linux 内核，后者是任何 Linux 操作系统的核心。

安全补丁：

* 在 Linux 内核的 KVM 子系统处理 PIT（可编程间隔定时器）仿真的方式中发现争用条件缺陷。有权访问 PIT I/O 端口的访客用户可利用此缺陷导致主机崩溃。（CVE-2014-3611，重要）

* 在 Linux 内核的流控制传输协议 (SCTP) 实现处理相同主机之间的同时连接的方式中发现空指针取消引用缺陷。远程攻击者可利用此缺陷造成系统崩溃。（CVE-2014-5077，重要）

* 已发现 Linux 内核的 KVM 子系统未能有效地处理针对 invept （源自 EPT 的无效转换）和 invvpid（基于 VPID 的无效转换）指令的 VM 退出。在采用 Intel 处理器且支持 invept/invppid VM 退出的主机上，非特权客户机用户可利用这些指令导致访客崩溃。（CVE-2014-3645、CVE-2014-3646，中危）

* 在 Linux 内核的高级 Linux 声音架构 (ALSA) 实现处理用户控件的方式中发现一个释放后使用缺陷。本地特权用户可利用此缺陷导致系统崩溃。（CVE-2014-4653，中危）

Red Hat 在此感谢 Google 的 Lars Bull 报告 CVE-2014-3611，并感谢 Intel Security 的高级威胁研究团队报告 CVE-2014-3645 和 CVE-2014-3646。

缺陷补丁：

* 已修复使用 cxgb4 驱动程序的 Chelsio 适配器在 IBM POWER8 系统上进行初始化的这一已知问题。
这些适配器现在可以按预期在 IBM POWER8 系统上使用。
(BZ#1130548)

* 引入热添加的在线 CPU 时，内核未正确初始化 CPU 掩码，这可导致内核错误。此更新通过确保正确初始化 CPU 掩码并选择正确的 NUMA 节点来修正缺陷。(BZ#1134715)

* 如果硬件同时支持 acpi-cpufreq 和 intel_pstate 模块，则内核可能无法引入在线 CPU。此更新确保在加载 intel_pstate 模块时不会加载 acpi-cpufreq 模块。(BZ#1134716)

* 由于内核计划程序的时间核算中存在缺陷，因此在热添加 CPU 时可能会出现除法错误。要修复此问题，已重新制定内核计划程序的时间核算。(BZ#1134717)

* 内核未处理由无效的浮点控制 (FPC) 寄存器造成的异常，这可导致内核 oops。已通过放置标签来将这些异常处理到代码中的正确位置，从而修复了此问题。(BZ#1138733)

* 之前对 PowerPC 架构的内核所做的更改改变了 compat_sys_sendfile() 函数的实现。因此，64 位 sendfile() 系统调用不再对 PowerPC 上大于 2 GB 的文件有效。此更新在 PowerPC 上还原了 sendfile() 之前的行为，现在它又可以按预期处理大于 2 GB 的文件。(BZ#1139126)

* 以前，即使未更改拓扑结构，内核计划程序也可以计划 CPU 拓扑结构更新。这会对 CPU 负载平衡产生负面影响，从而造成系统性能下降，并最终导致内核 oops。已通过在并未实际更改拓扑结构时跳过该 CPU 拓扑结构更新来修复此问题。(BZ#1140300)

* 以前，在某些情况下，恢复双精度下降的 RAID6 数组可能导致数据损坏。发生此情况的原因是，md 驱动程序使用的优化仅能安全地用于单精度下降的阵列。此更新可确保在恢复双精度下降的 RAID6 数组期间跳过该优化。(BZ#1143850)

建议所有内核用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动系统才能使此更新生效。

更新后的 wireshark 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Wireshark 是一个网络协议分析器。它用于捕获和浏览运行于计算机网络上的流量。

在 Wireshark 中发现多种缺陷。如果 Wireshark 读取网络中的畸形数据包或打开恶意转储文件，它可发生崩溃或者可能以运行 Wireshark 的用户的身份执行任意代码。
（CVE-2014-6429、CVE-2014-6430、CVE-2014-6431、CVE-2014-6432）

在 Wireshark 中发现多个拒绝服务缺陷。如果 Wireshark 读取了网络中的畸形数据包或打开恶意转储文件，它可能崩溃或停止响应。（CVE-2014-6421、CVE-2014-6422、CVE-2014-6423、CVE-2014-6425、CVE-2014-6428）

建议所有 wireshark 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Wireshark 实例，才能使更新生效。

更新后的 wireshark 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Wireshark 是一个网络协议分析器。它用于捕获和浏览运行于计算机网络上的流量。

在 Wireshark 中发现多种缺陷。如果 Wireshark 读取网络中的畸形数据包或打开恶意转储文件，它可发生崩溃或者可能以运行 Wireshark 的用户的身份执行任意代码。
（CVE-2014-6429、CVE-2014-6430、CVE-2014-6431、CVE-2014-6432）

在 Wireshark 中发现多个拒绝服务缺陷。如果 Wireshark 读取了网络中的畸形数据包或打开恶意转储文件，它可能崩溃或停止响应。（CVE-2014-6421、CVE-2014-6422、CVE-2014-6423、CVE-2014-6424、CVE-2014-6425、CVE-2014-6426、CVE-2014-6427、CVE-2014-6428）

建议所有 wireshark 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的 Wireshark 实例，才能使更新生效。

更新后的 rsyslog5 和 rsyslog 程序包修复了一个安全问题，现在可分别用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

rsyslog 程序包提供增强的多线程 syslog 后台程序，支持写入关系数据库、syslog/TCP、RFC 3195、许可的发送方列表、对任何消息部分进行过滤以及精细的输出格式控制。

在 rsyslog 处理无效的日志消息优先级值的方式中发现一个缺陷。在某些配置中，能够连接到 rsyslog 端口的本地攻击者或远程攻击者可利用此缺陷导致 rsyslog 后台程序崩溃。(CVE-2014-3634)

Red Hat 在此感谢 rsyslog 上游的 Rainer Gerhards 报告此问题。

建议所有 rsyslog5 和 rsyslog 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。
安装更新后，rsyslog 服务将自动重新启动。

更新后的 qemu-kvm 程序包修复了一个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有低安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

KVM（基于内核的虚拟机）是针对 AMD64 上的 Linux 以及 Intel 64 位系统的完全虚拟化解决方案。qemu-kvm 程序包提供了用户空间组件，以使用 KVM 运行虚拟机。

在 QEMU 的 VGA 仿真器访问高分辨率显示的帧缓冲区内存的方式中发现信息泄漏缺陷。特权客户机用户可通过将显示设置为使用客户机中的高分辨率来利用此缺陷，以将主机的内存内容泄漏给访客。(CVE-2014-3615)

此问题由 Red Hat 的 Laszlo Ersek 发现。

此更新还修复以下缺陷：

* 此更新修复了 scsi_block_new_request() 函数中的回归，如果未使用主机缓存，此回归会导致所有读取请求均需通过 SG_IO 完成。(BZ#1141189)

建议所有　qemu-kvm 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装此更新后，关闭所有正在运行的虚拟机。关闭所有虚拟机后，重新启动它们才能使此更新生效。

更新后的 libxml2 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

libxml2 库是提供各种 XML 标准实现的开发工具箱。

在 libxml2（一款提供支持读取、修改以及写入 XML 和 HTML 文件的库）中发现拒绝服务缺陷。远程攻击者可提供特别构建的 XML 文件，由使用 libxml2 的应用程序进行处理时，可导致在过多实体替换的基础上过度消耗 CPU （拒绝服务），即使已禁用实体替换也是如此，这是解析器的默认行为。(CVE-2014-3660)

建议所有 libxml2 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。必须重新启动（注销，然后再登录）桌面才能使此更新生效。

更新后的 openssl 程序包含有用于缓解 CVE-2014-3566 问题的向后移植的修补程序，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。

OpenSSL 是用于实现安全套接字层 (SSL)、传输层安全 (TLS)和数据报传输层安全 (DTLS) 协议以及强大的通用密码库的工具包。

此更新添加了对 TLS 回退信号加密套件值 (TLS_FALLBACK_SCSV) 的支持，在初始连接表明支持的最高协议版本失败时，可使用该支持防止针对使用更低的 SSL/TLS 协议版本进行重新连接的应用程序发动协议降级攻击。

这样可防止将通信强制降级为 SSL 3.0。
已发现使用密码块链接 (CBC) 模式中的块密码套件时，SSL 3.0 协议容易遭受 padding oracle 攻击。此问题识别为 CVE-2014-3566，别名也称为 POODLE。此后的更新中不会处理该 SSL 3.0 协议缺陷；建议用户将其应用程序配置为至少需要 TLS 协议版本 1.0，以保证通信安全。

有关此缺陷的更多信息，请参阅知识库文章，网址是：https://access.redhat.com/articles/1232123

建议所有　OpenSSL 用户升级这些更新后的程序包，其中包含用于缓解 CVE-2014-3566 问题的向后移植的修补程序。
为使更新生效，必须重新启动所有链接到 OpenSSL 库的服务（例如 httpd 和其他已启用 SSL 的服务），或者重新启动系统。

更新后的 OpenSSL 程序包中包含用于缓解名为 SSLv3 Padding Oracle 降级旧式加密漏洞 (POODLE) 的 CVE-2014-3566 问题的向后移植的修补程序，并且修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

OpenSSL 是用于实现安全套接字层 (SSL)、传输层安全 (TLS)和数据报传输层安全 (DTLS) 协议以及强大的通用密码库的工具包。

此更新添加了对 TLS 回退信号加密套件值 (TLS_FALLBACK_SCSV) 的支持，在初始连接表明支持的最高协议版本失败时，可使用该支持防止针对使用更低的 SSL/TLS 协议版本进行重新连接的应用程序发动协议降级攻击。

这样可防止将通信强制降级为 SSL 3.0。
已发现使用密码块链接 (CBC) 模式中的块密码套件时，SSL 3.0 协议容易遭受 padding oracle 攻击。此问题被标识为 CVE-2014-3566，别名为 POODLE。此后的更新中不会处理该 SSL 3.0 协议缺陷；建议用户将其应用程序配置为至少需要 TLS 协议版本 1.0，以保证通信安全。

有关此缺陷的更多信息，请参阅知识库文章，网址是：https://access.redhat.com/articles/1232123

在 OpenSSL 解析 DTLS 安全实时传输协议 (SRTP) 扩展数据的方式中发现内存泄漏缺陷。远程攻击者可发送多个特别构建的握手消息，以耗尽 SSL/TLS 或 DTLS 服务器的所有可用内存。(CVE-2014-3513)

在 OpenSSL 处理失败的会话票证完整性检查的方式中发现一个内存泄漏缺陷。远程攻击者可通过向 SSL/TLS 或 DTLS 服务器发送大量无效的会话票证来耗尽该服务器的所有可用内存。(CVE-2014-3567)

建议所有 OpenSSL 用户升级这些更新后的程序包，其中包含用于缓解 CVE-2014-3566 问题以及修复 CVE-2014-3513 和 CVE-2014-3567 问题的向后移植的修补程序。为使更新生效，必须重新启动所有链接到 OpenSSL 库的服务（例如 httpd 和其他已启用 SSL 的服务），或者重新启动系统。

更新后的 thunderbird 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Mozilla Thunderbird 是独立的邮件和新闻组客户端。

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可能导致 Thunderbird 崩溃，或者可能以运行 Thunderbird 的用户的权限执行任意代码。（CVE-2014-1574、CVE-2014-1578、CVE-2014-1581、CVE-2014-1577）

注意：特别构建的 HTML 邮件消息无法利用所有上述问题，因为在默认情况下，邮件消息禁用 JavaScript。在 Thunderbird 中可采用另一种方式利用这些问题，例如查看 RSS 源的完整远程内容时。

Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢这些问题的原始报告者 Bobby Holley、Christian Holler、David Bolter、Byron Campen Jon Coppeard、Holger Fuhrmannek、Abhishek Arya 和 regenrecht。

有关这些缺陷的技术详细信息，请参阅针对 Thunderbird 31.2.0 的 Mozilla 安全公告。在本勘误表的“参考”部分可以找到 Mozilla 公告的链接。

所有 Thunderbird 用户都应升级这些更新后的程序包，其中包含已修正了这些问题的 Thunderbird 版本 31.2.0。
安装更新后，必须重新启动 Thunderbird 才能使更改生效。

更新后的 firefox 程序包修复了多种安全问题，现在可用于Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Mozilla Firefox 是一款开源 Web 浏览器。XULRunner 提供用于 Mozilla Firefox 的 XUL Runtime 环境。

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2014-1574、CVE-2014-1578、CVE-2014-1581、CVE-2014-1576、CVE-2014-1577）

在 Alarm API 中发现一个缺陷，该缺陷允许应用程序计划要以后来运行的操作。恶意 Web 应用程序可利用此缺陷绕过跨源限制。
(CVE-2014-1583)

Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢这些问题的原始报告者 Bobby Holley、Christian Holler、David Bolter、Byron Campen Jon Coppeard、Atte Kettunen、Holger Fuhrmannek、Abhishek Arya、regenrecht 和 Boris Zbarsky。

有关这些缺陷的技术详细信息，请参阅 Firefox 31.2.0 ESR 的 Mozilla 安全公告。在本勘误表的“参考”部分可以找到 Mozilla 公告的链接。

所有 Firefox 用户应升级这些更新后的程序包，其中包含已修正了这些问题的 Firefox 版本 31.2.0 ESR。安装更新后，必须重新启动 Firefox 才能使更改生效。

更新后的 java-1.6.0-openjdk 程序包修复了多个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.6.0-openjdk 程序包提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Java 软件开发工具包。

在 OpenJDK 的库、2D 和热点组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2014-6506、CVE-2014-6531、CVE-2014-6502、CVE-2014-6511、CVE-2014-6504、CVE-2014-6519）

已发现即使在禁用外部实体替换的情况下，OpenJDK 的 JAXP 组件中的 StAX XML 解析器也会执行外部参数实体的扩展。远程攻击者可利用此缺陷，针对使用 StAX 解析器解析不受信任的 XML 文档的应用程序执行 XML 外部实体 (XXE) 攻击。
(CVE-2014-6517)

已发现 OpenJDK 中的 DatagramSocket 实现无法对连接的套接字上接收的数据包执行源地址检查。远程攻击者可利用此漏洞，使其数据包作为来自预期来源的数据包进行处理。
(CVE-2014-6512)

已发现 OpenJDK 的 JSSE 组件中的 TLS/SSL 实现无法在恢复会话之后的重新协商期间正确地验证服务器身份，导致恶意 TLS/SSL 服务器可能针对使用 JSSE 和客户端证书认证的客户端执行三倍握手攻击。(CVE-2014-6457)

已发现 OpenJDK 中的 CipherInputStream 类实现没有正确处理特定异常。这可能导致攻击者通过此类影响处理的加密流的完整性。(CVE-2014-6558)

CVE-2014-6512 由 Red Hat 产品安全的 Florian Weimer 发现。

此更新还修复以下缺陷：

* 之前，OpenJDK 中的 TLS/SSL 实现未能处理大小超过 1024 位的 Diffie-Hellman (DH) 密钥。这导致使用 JSSE 的客户端应用程序无法在连接握手期间使用更大的 DH 密钥建立到服务器的 TLS/SSL 连接。此更新添加了对大小达到 2048 位的 DH 密钥的支持。
(BZ#1148309)

建议所有 java-1.6.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

更新后的 java-1.7.0-openjdk 程序包修复了多个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。

在 OpenJDK 的库、2D 和热点组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2014-6506、CVE-2014-6531、CVE-2014-6502、CVE-2014-6511、CVE-2014-6504、CVE-2014-6519）

已发现即使在禁用外部实体替换的情况下，OpenJDK 的 JAXP 组件中的 StAX XML 解析器也会执行外部参数实体的扩展。远程攻击者可利用此缺陷，针对使用 StAX 解析器解析不受信任的 XML 文档的应用程序执行 XML 外部实体 (XXE) 攻击。
(CVE-2014-6517)

已发现 OpenJDK 中的 DatagramSocket 实现无法对连接的套接字上接收的数据包执行源地址检查。远程攻击者可利用此漏洞，使其数据包作为来自预期来源的数据包进行处理。
(CVE-2014-6512)

已发现 OpenJDK 的 JSSE 组件中的 TLS/SSL 实现无法在恢复会话之后的重新协商期间正确地验证服务器身份，导致恶意 TLS/SSL 服务器可能针对使用 JSSE 和客户端证书认证的客户端执行三倍握手攻击。(CVE-2014-6457)

已发现 OpenJDK 中的 CipherInputStream 类实现没有正确处理特定异常。这可能导致攻击者通过此类影响处理的加密流的完整性。(CVE-2014-6558)

CVE-2014-6512 由 Red Hat 产品安全的 Florian Weimer 发现。

此更新还修复以下缺陷：

* 之前，OpenJDK 中的 TLS/SSL 实现未能处理大小超过 1024 位的 Diffie-Hellman (DH) 密钥。这导致使用 JSSE 的客户端应用程序无法在连接握手期间使用更大的 DH 密钥建立到服务器的 TLS/SSL 连接。此更新添加了对大小达到 2048 位的 DH 密钥的支持。
(BZ#1148309)

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

更新后的 java-1.7.0-openjdk 程序包修复了多个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。

在 OpenJDK 的库、2D 和热点组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2014-6506、CVE-2014-6531、CVE-2014-6502、CVE-2014-6511、CVE-2014-6504、CVE-2014-6519）

已发现即使在禁用外部实体替换的情况下，OpenJDK 的 JAXP 组件中的 StAX XML 解析器也会执行外部参数实体的扩展。远程攻击者可利用此缺陷，针对使用 StAX 解析器解析不受信任的 XML 文档的应用程序执行 XML 外部实体 (XXE) 攻击。
(CVE-2014-6517)

已发现 OpenJDK 中的 DatagramSocket 实现无法对连接的套接字上接收的数据包执行源地址检查。远程攻击者可利用此漏洞，使其数据包作为来自预期来源的数据包进行处理。
(CVE-2014-6512)

已发现 OpenJDK 的 JSSE 组件中的 TLS/SSL 实现无法在恢复会话之后的重新协商期间正确地验证服务器身份，导致恶意 TLS/SSL 服务器可能针对使用 JSSE 和客户端证书认证的客户端执行三倍握手攻击。(CVE-2014-6457)

已发现 OpenJDK 中的 CipherInputStream 类实现没有正确处理特定异常。这可能导致攻击者通过此类影响处理的加密流的完整性。(CVE-2014-6558)

CVE-2014-6512 由 Red Hat 产品安全的 Florian Weimer 发现。

注意：安装由 icedtea-web 程序包提供的 Web 浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在无用户交互的情况下被利用。

此更新还修复以下缺陷：

* 之前，OpenJDK 中的 TLS/SSL 实现未能处理大小超过 1024 位的 Diffie-Hellman (DH) 密钥。这导致使用 JSSE 的客户端应用程序无法在连接握手期间使用更大的 DH 密钥建立到服务器的 TLS/SSL 连接。此更新添加了对大小达到 2048 位的 DH 密钥的支持。
(BZ#1148309)

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

更新后的 rsyslog 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

rsyslog 程序包提供增强的多线程 syslog 后台程序，支持写入关系数据库、syslog/TCP、RFC 3195、许可的发送方列表、对任何消息部分进行过滤以及精细的输出格式控制。

在 rsyslog 处理无效的日志消息优先级值的方式中发现一个缺陷。在特定配置中，能够连接到 rsyslog 端口的本地攻击者或远程攻击者可利用此缺陷导致 rsyslog 后台程序崩溃，或可以运行 rsyslog 后台程序的用户的身份执行任意代码。(CVE-2014-3634)

Red Hat 在此感谢 rsyslog 上游的 Rainer Gerhards 报告此问题。

建议所有 rsyslog 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。安装更新后，rsyslog 服务将自动重新启动。

更新后的 krb5 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Kerberos 是一套认证系统，允许客户端和服务在受信任的第三方（即 Kerberos 密钥分发中心 (KDC)）的帮助下对彼此进行认证。

与 KDC 数据库的 LDAP 后端一起使用时，在 KADM5 管理服务器 (kadmind) 中发现缓冲区溢出。
经过认证的远程攻击者可以利用此缺陷在运行 kadmind 的系统上执行任意代码。(CVE-2014-4345)

建议所有 krb5 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。安装更新后的程序包后，krb5kdc 和 kadmind 后台程序将自动重新启动。

更新后的 polkit-qt 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Polkit-qt 是一个库，可使开发人员通过 Qt 样式的 API 使用 PolicyKit API。polkit-qt 库由 KDE 认证代理 (KAuth) 使用，它是 kdelibs 的一部分。

已发现 polkit-qt 通过易受争用条件影响的 D-Bus API 处理包含 PolicyKit 的授权请求。本地用户可利用此缺陷绕过预期的 PolicyKit 授权。此更新修改了 polkit-qt，以通过不易受争用条件影响的不同 API 与 PolicyKit 进行通信。(CVE-2014-5033)

建议所有 polkit-qt 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

更新后的 libvirt 程序包修复了两个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

libvirt 库是一款 C API，用于管理并交互 Linux 和其他操作系统的虚拟化功能。此外，libvirt 还提供用于远程管理虚拟化系统的工具。

为持续磁盘配置建立索引时，在 libvirt 的 qemuDomainGetBlockIoTune() 函数查询非持续（实时）磁盘配置中的磁盘索引的方式中发现越界读取缺陷。能够建立到 libvirtd 的只读连接的远程攻击者可以利用此缺陷导致 libvirtd 崩溃，或可从 libvirtd 进程泄漏内存。
(CVE-2014-3633)

在 libvirt 的 virConnectListAllDomains() 函数计算使用的域的数量的方式中发现拒绝服务缺陷。能够建立到 libvirtd 的只读连接的远程攻击者可以利用此缺陷在 libvirtd 失去响应期间执行任何域操作。(CVE-2014-3657)

CVE-2014-3633 问题由 Red Hat 的 Luyao Huang 发现。

此更新还修复以下缺陷：

* 在此更新之前，libvirt 会先为含有 numatune/memory[节点集] 的域设置 cpuset.mems 参数，然后再启动这些域。因此，如果 KVM 初始化失败，则无法启动含有此类节点集的域（这些节点集将 NUMA 节点从在 /proc/zoneinfo 中找到的 DMA 和 DMA32 区域中排除）。通过此更新，libvirt 会在初始化之后设置 cpuset.mems 参数，并且可在没有错误时启动含有任何节点集（在 /numatune/memory 中）的域。(BZ#1135871)

建议所有 libvirt 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，libvirtd 将自动重新启动。

更新后的 php 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

PHP 是一种嵌入了 HTML 的脚本语言，通常用于 Apache HTTP Server。PHP 的 fileinfo 模块提供用于根据文件所包含数据的类型识别特定文件的函数。

在文件信息 (fileinfo) 扩展处理某些 Pascal 字符串的方式中发现缓冲区溢出缺陷。能够引起使用 fileinfo 的 PHP 应用程序转换由图像文件提供的特别构建的 Pascal 字符串的远程攻击者可导致该应用程序崩溃。(CVE-2014-3478)

在用于检测各种文件的文件信息 (fileinfo) 扩展正则表达式规则中发现多种缺陷。远程攻击者可利用其中任一缺陷导致使用 fileinfo 的 PHP 应用程序消耗过多 CPU。(CVE-2014-3538)

已发现 CVE-2012-1571 的修复不完整；文件信息 (fileinfo) 扩展没有正确解析特定的复合文档格式 (CDF) 文件。远程攻击者可利用此缺陷，通过特别构建的 CDF 文件导致使用 fileinfo 的 PHP 应用程序崩溃。(CVE-2014-3587)

已发现 PHP 的 gd 扩展没有正确处理含空字符的文件名。远程攻击者可能利用此缺陷使 PHP 应用程序访问意外的文件，并绕过预期的文件系统访问限制。(CVE-2014-5120)

在 PHP 的 gd 扩展的 gdImageCreateFromXpm() 函数中发现空指针取消引用缺陷。远程攻击者可利用此缺陷，使用 gd 通过特别构建的 X PixMap (XPM) 文件导致 PHP 应用程序崩溃。(CVE-2014-2497)

在 PHP 的 php_parserr() 函数中发现多种缓冲区读取越界缺陷。如果 PHP 应用程序使用 dns_get_record() 函数执行 DNS 查询，恶意 DNS 服务器或中间人攻击者可能利用此缺陷将任意代码作为 PHP 解释器执行。(CVE-2014-3597)

在 PHP 处理特定的标准 PHP 库 (SPL) 迭代器和数组迭代器的方式中发现两个释放后使用缺陷。恶意脚本作者可能利用其中任一缺陷泄露服务器内存的特定部分。（CVE-2014-4670、CVE-2014-4698）

CVE-2014-3478 问题由 Red Hat 产品安全团队的 Francisco Alonso 发现，CVE-2014-3538 问题由 Red Hat Web 堆栈团队的 Jan Kaluža 发现，CVE-2014-3597 问题由 Red Hat BaseOS QE 的 David Kutálek 发现。

建议所有 php 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，必须重新启动 httpd 后台程序才能使更新生效。

更新后的 php53 和 php 程序包修复了多个安全问题，现在可分别用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

PHP 是一种嵌入了 HTML 的脚本语言，通常用于 Apache HTTP Server。PHP 的 fileinfo 模块提供用于根据文件所包含数据的类型识别特定文件的函数。

已发现 CVE-2012-1571 的修复不完整；文件信息 (fileinfo) 扩展没有正确解析特定的复合文档格式 (CDF) 文件。远程攻击者可利用此缺陷，通过特别构建的 CDF 文件导致使用 fileinfo 的 PHP 应用程序崩溃。(CVE-2014-3587)

在 PHP 的 gd 扩展的 gdImageCreateFromXpm() 函数中发现空指针取消引用缺陷。远程攻击者可利用此缺陷，使用 gd 通过特别构建的 X PixMap (XPM) 文件导致 PHP 应用程序崩溃。(CVE-2014-2497)

在 PHP 的 php_parserr() 函数中发现多种缓冲区读取越界缺陷。如果 PHP 应用程序使用 dns_get_record() 函数执行 DNS 查询，恶意 DNS 服务器或中间人攻击者可能利用此缺陷将任意代码作为 PHP 解释器执行。(CVE-2014-3597)

在 PHP 处理特定的标准 PHP 库 (SPL) 迭代器和数组迭代器的方式中发现两个释放后使用缺陷。恶意脚本作者可能利用其中任一缺陷泄露服务器内存的特定部分。（CVE-2014-4670、CVE-2014-4698）

CVE-2014-3597 问题由 Red Hat BaseOS QE 的 David Kutálek 发现。

建议所有 php53 和 php 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。
安装更新后的程序包后，必须重新启动 httpd 后台程序才能使更新生效。

更新后的 xerces-j2 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

适用于 Java 的 Apache Xerces (Xerces-J) 具有高性能且符合标准，用于验证写入 Java 的 XML 解析器。xerces-j2 程序包提供 Xerces-J 版本 2。

在 Xerces-J 处理 XML 声明的方式中发现资源消耗问题。通过采用 Xerces-J 的应用程序进行解析时，远程攻击者可以使用具有较长伪属性名称的特别构建声明的 XML 文档导致该应用程序占用过多 CPU。(CVE-2013-4002)

建议所有 xerces-j2 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。必须重新启动使用 Xerces-J 的应用程序才能使此更新生效。

更新后的 nss 和 nspr 程序包修复了多种安全问题和多个缺陷并添加了多种增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。

在 NSS 中实现 TLS False Start 的方式中发现一个缺陷。攻击者可利用此缺陷从服务器返回未加密的信息。(CVE-2013-1740)

已发现 NSS 实现 RFC 5077 指定的会话票证处理的方式中存在争用条件。攻击者可利用此缺陷导致使用 NSS 的应用程序崩溃，在极少数情况下，还可能以运行该应用程序的用户的权限执行任意代码。
(CVE-2014-1490)

已发现 NSS 接受弱 Diffie-Hellman 密钥交换 (DHKE) 参数。这可能导致在客户端与服务器之间的通信中使用弱加密。(CVE-2014-1491)

在 NSPR 中发现一个越界写入缺陷。远程攻击者可能利用此缺陷导致使用 NSPR 的应用程序崩溃，或者可能以运行该应用程序的用户的权限执行任意代码。任何随附的 Firefox 版本的 Web 内容中都没有发现该 NSPR 缺陷。(CVE-2014-1545)

已发现 NSS 中的应用程序国际化域名 (IDNA) 主机名匹配的实现没有遵守 RFC 6125 建议。这样可导致将含有国际字符的无效证书视为有效。
(CVE-2014-1492)

Red Hat 在此感谢 Mozilla 项目报告 CVE-2014-1490、CVE-2014-1491 和 CVE-2014-1545 问题。上游感谢 Brian Smith 为 CVE-2014-1490 的原始报告者，Antoine Delignat-Lavaud 和 Karthikeyan Bhargavan 为 CVE-2014-1491 的原始报告者，并且 Abhishek Arya 为 CVE-2014-1545 的原始报告者。

nss 和 nspr 程序包已分别升级到上游版本 3.16.1 和 4.10.6，其提供了对之前版本的多个缺陷补丁和增强。（BZ#1110857、BZ#1110860）

此更新还修复以下缺陷：

* 以前，如果系统中没有 output.log 文件，则网络安全服务 (NSS) 规范中的 shell 会将测试失败错误地处理为误报测试结果。
因此，“grep”等特定实用工具无法正确处理失败。此更新改善了规范文件中的错误检测，“grep”和其他实用工具现在可以按照预期来处理缺失文件或崩溃。(BZ#1035281)

* 在此更新之前，ANSSI 代理的从属证书颁发机构 (CA) 错误地发布了网络监控设备上安装的中间证书。因此，监控设备会作为执行域名流量管理的 MITM（中间人）代理或并非由证书拥有者拥有或控制的 IP 地址而启用。已撤消中间证书内为 MITM 设备发布证书的信任，此类设备无法再用于 MITM 攻击。(BZ#1042684)

* 由于回归，默认情况下会拒绝 MD5 证书，因为网络安全服务 (NSS) 不信任 MD5 证书。通过此更新，MD5 证书在 Red Hat Enterprise Linux 5 中受支持。(BZ#11015864)

建议 nss 和 nspr 的用户升级这些更新后的程序包，其中修正了这些问题并添加了这些增强。

更新后的 krb5 程序包修复了多个安全问题和两个缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Kerberos 是一套认证系统，允许客户端和服务在受信任的第三方（即 Kerberos 密钥分发中心 (KDC)）的帮助下对彼此进行认证。

已发现如果 KDC 为多个领域提供服务，则特定请求可能导致 setup_server_realm() 函数取消引用空指针。未经认证的远程攻击者可利用此缺陷通过特别构建的请求导致 KDC 崩溃。（CVE-2013-1418、CVE-2013-6800）

在用于连续标记的 MIT Kerberos SPNEGO 接收器中发现空指针取消引用缺陷。未经认证的远程攻击者可利用此缺陷导致已启用 GSSAPI 的服务器应用程序崩溃。
(CVE-2014-4344)

在 MIT Kerberos 处理某些请求的方式中发现一个缓冲区读取越界缺陷。能够将数据包注入客户端或服务器应用程序的 GSSAPI 会话，且具有有效 Kerberos 票证的中间人攻击者可以利用此缺陷导致应用程序崩溃。(CVE-2014-4341)

此更新还修复以下缺陷：

* 在此更新之前，libkrb5 库有时会在加密凭据时尝试释放已释放的内存。因此，调用进程会因为分段错误而意外终止。通过此更新，libkrb5 可以正确释放内存，如此便可对凭据进行适当的加密，从而防止发生上述崩溃。(BZ#1004632)

* 以前，在 krb5 客户端库等待服务器响应时，超时变量会在某些情况下变为负数。结果是，客户端会在检查响应时进入循环。通过此更新，客户端逻辑得到修改，不会再出现上述错误。(BZ#1089732)

建议所有 krb5 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，krb5kdc 后台程序将自动重新启动。

更新后的 bind97 程序包修复了一个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Berkeley Internet Name Domain (BIND) 是域名系统 (DNS) 协议的一种实现。它包含一个 DNS 服务器 (named)、一个解析程序库（与 DNS 接合时供应用程序使用的例程）以及用于验证 DNS 服务器是否正常运行的工具。这些程序包包含版本 9.7 的 BIND 套件。

在 BIND 处理针对 NSEC3 签名区域的查询的方式中发现拒绝服务缺陷。远程攻击者可通过发送特别构建的查询，在服务于 NCES3 签名区域的授权名称服务器中利用此缺陷，当处理该查询时，将导致 named 崩溃。(CVE-2014-0591)

注意：CVE-2014-0591 问题不会直接影响 Red Hat Enterprise Linux 5 中随附的 bind97 版本。但是会处理此问题，以确保它不会出现在未来的 bind97 版本中（可能使用不同的编译器或 C 库优化构建）。

此更新还修复以下缺陷：

* 以前，在关闭 named 后台程序时，bind97 initscript 不会检查是否存在 ROOTDIR 变量。因此，关闭后台程序时，会卸载在 chroot 环境中使用 bind97 时挂载的文件系统的某些部分，即使 bind97 不在 chroot 环境中运行。通过此更新，修复了 initscript，以在 named 后台系统关闭的情况下卸载文件系统的某些部分时检查是否存在 ROOTDIR 变量。现在，关闭未在 chroot 环境中运行的 bind97 时，不会卸载文件系统的任何部分。(BZ#1059118)

建议所有 bind97 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后，BIND 后台程序 (named) 将自动重新启动。

更新后的 automake 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有低安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Automake 是用于自动生成符合 GNU 编码标准的 Makefile.in 文件的工具。

已发现 Automake 生成的 Makefiles 中的 distcheck 规则在准备源存档时将目录设为全局可写。如果恶意的本地用户能够访问此目录，他们可通过运行“make distcheck”的用户权限执行任意代码。(CVE-2012-3386)

Red Hat 在此感谢 Jim Meyering 报告此问题。
上游感谢原始报告者 Stefano Lattarini。

建议所有 automake 用户升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

更新后的 conga 程序包修复了多个安全问题和若干缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Conga 项目是远程工作站的管理系统。它包括 luci 和 ricci 两部分，前者是一款基于 Web 的安全前端，而后者是一款将传入消息分发到底层管理模块的安全后台程序。

已发现作为 luci 的一部分随附的 Plone 没有正确保护管理员界面（控制面板）。远程攻击者可利用此缺陷向 Plone 的受限制 Python 沙盒中注入特别构建的 Python 语句或脚本，当访问管理员界面时，能够以该管理员用户的权限执行这些语句或脚本。(CVE-2012-5485)

已发现作为 luci 的一部分随附的 Plone 没有对在某些 URL 请求内提供的 HTTP 标头进行适当的审查。A remote attacker could use a specially crafted URL that, 远程攻击者可以使用特别构建的 URL，在进行处理时，使注入的 HTTP 标头作为 Plone HTTP 响应的一部分返回，这可能引发攻击者执行其他更高级的攻击。(CVE-2012-5486)

在 conga 处理与 luci 站点扩展相关的 URL 请求的方式中发现多种信息泄漏缺陷。未经认证的远程攻击者可以发布特别构建的 HTTP 请求，在进行处理时，可能导致未授权的信息泄露。
(CVE-2013-6496)

已发现并非将与 luci 站点扩展相关的 URL 中的各种组件适当限制为由管理用户使用。经过认证的远程攻击者可以升级其权限，以执行应仅由管理用户才能执行的特定操作，例如添加用户和系统以及查看日志数据。(CVE-2014-3521)

已发现作为 luci 的一部分随附的 Plone 没有正确保护运行 RestrictedPython 脚本的权限。远程攻击者可以使用特别构建的 URL，在进行处理时使攻击者提交并执行大量计算，或者与其他攻击相结合以访问或更改特权信息。(CVE-2012-5488)

已发现作为 luci 的一部分随附的 Plone 没有正确地在成员关系数据库中实施权限检查。远程攻击者可以使用特别构建的 URL，在进行处理时使攻击者枚举用户帐户名称。
(CVE-2012-5497)

已发现作为 luci 的一部分随附的 Plone 没有正确处理某些集合的请求。远程攻击者可以使用特别构建的 URL，在进行处理时导致消耗过多的 I/O 和/或缓存资源。(CVE-2012-5498)

已发现作为 luci 的一部分随附的 Plone 没有正确处理传递至内部实用工具函数的超大值。远程攻击者可以使用特别构建的 URL，在进行处理时可能导致消耗过多的内存。(CVE-2012-5499)

已发现作为 luci 的一部分随附的 Plone 允许远程匿名用户更改内容项目的标题，原因是权限检查不当。(CVE-2012-5500)

CVE-2014-3521 问题由 Red Hat 的 Radek Steiger 发现，CVE-2013-6496 问题由 Red Hat 的 Jan Pokorny 发现。

此外，这些更新后的 conga 程序包中包含若干缺陷补丁。
空间有限，无法在此公告中记载所有这些更改。
有关这些更改的最重要的信息，用户可参阅在“参考”部分链接的 Red Hat Enterprise Linux 5.11 技术札记

建议所有 conga 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装此更新后，luci 和 ricci 服务将自动重新启动。

更新后的 nss 程序包修复了一个安全问题，现可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

网络安全服务 (NSS) 是一组库，专用于支持启用了安全性的客户端和服务器应用程序的跨平台开发。Netscape Portable Runtime (NSPR) 为非 GUI 操作系统设施提供平台独立性。

在 NSS 解析来自特定 RSA 签名的 ASN.1（抽象语法标记一）输入的方式中发现一个缺陷。远程攻击者可利用此缺陷，通过向使用 NSS 的应用程序提供特别构建的签名来伪造 RSA 证书。(CVE-2014-1568)

Red Hat 在此感谢 Mozilla 项目报告此问题。上游感谢 Antoine Delignat-Lavaud 和 Intel 产品安全事件响应团队为原始报告者。

建议所有 NSS 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。安装此更新后，必须重新启动使用 NSS 的应用程序才能使此更新生效。

更新后的 bash 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

GNU Bourne Again shell (Bash) 是与 Bourne shell (sh) 兼容的 shell 和命令语言解释器。Bash 是 Red Hat Enterprise Linux 的默认 shell。

已发现针对 CVE-2014-6271 的修复不完整，Bash 仍然允许通过特别构建的环境变量将特定字符注入其他环境中。攻击者可能利用此缺陷替代或绕过环境限制，以执行 shell 命令。某些服务和应用程序允许未经认证的远程攻击者提供环境变量，从而利用此问题。
(CVE-2014-7169)

直接将 bash 函数创建为环境变量的应用程序需要注意此更新处理名称的方式的变化。有关更多信息，请参阅知识库文章：https://access.redhat.com/articles/1200223

注意：建议 Docker 用户在其容器中使用“yum update”，并提交所得更改。

有关 CVE-2014-6271 和 CVE-2014-7169 的更多信息，请参阅上述知识库文章。

建议所有 bash 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

更新后的 bash 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

GNU Bourne Again shell (Bash) 是与 Bourne shell (sh) 兼容的 shell 和命令语言解释器。Bash 是 Red Hat Enterprise Linux 的默认 shell。

在 Bash 评估特别构建的特定环境变量的方式中发现一个缺陷。攻击者可利用此缺陷替代或绕过环境限制，以执行 shell 命令。某些服务和应用程序允许未经认证的远程攻击者提供环境变量，从而利用此问题。
(CVE-2014-6271)

有关 CVE-2014-6271 缺陷的更多信息，请参阅知识库文章，网址是：https://access.redhat.com/articles/1200223

Red Hat 在此感谢 Stephane Chazelas 报告此问题。

建议所有 bash 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

更新后的 haproxy 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

HAProxy 为基于 TCP 和 HTTP 的应用程序提供高可用性、负载平衡和代理。

特定条件下，在 HAProxy 处理从客户端上传的数据的方式中发现缓冲区溢出缺陷。远程攻击者可能利用此缺陷造成 HAProxy 崩溃。
(CVE-2014-6269)

建议所有 haproxy 用户升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

更新后的 kernel 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

kernel 程序包包含 Linux 内核，后者是任何 Linux 操作系统的核心。

* 在 Linux 内核的系统调用审计实现中发现越界内存访问缺陷。在定义了现有审计规则的系统上，本地非特权用户能够利用此缺陷将内核内存泄漏到用户空间，还可能导致系统崩溃。
（CVE-2014-3917，中危）

此更新还修复以下缺陷：

* mtip32xx 驱动程序中存在缺陷，可导致含有未对齐 I/O 访问的 Micron P420m PCIe SSD 设备无法完成已提交的 I/O 请求。这可导致出现活锁情况，并将 Micron P420m PCIe SSD 设备渲染为无法使用。要修复此问题，mtip32xx 现在会检查 I/O 访问是否未对齐，如果是，它将使用正确的信号量。(BZ#1125776)

* 已向后移植一系列修补程序，用于改善 Red Hat Enterprise Linux 7 的最新 Lenovo 笔记本电脑中的触摸板功能。(BZ#1122559)

* 由于 bnx2x 驱动程序中存在缺陷，网络适配器无法从 EEH 错误注入中恢复正常。必须使网络适配器离线并重新启动才能使其再次正常工作。通过此更新，已修正 bnx2x 驱动程序，并且网络适配器现在将按预期从 EEH 错误中恢复正常。(BZ#1107722)

* 以前，如果 hrtimer 中断延迟，则所有在同一处理器上排队的后续待定 hrtimer 事件也会延迟，直到初始 hrtimer 事件处理完成为止。这可能导致所有 hrtimer 处理停止相当长的一段时间。要防止出现此问题，已对内核进行修改，以便在处理初始延迟的 hrtimer 事件时处理所有过期的 hrtimer 事件。(BZ#1113175)

* 之前对 nouveau 驱动程序的更改引入了位移错误，可导致某些型号的 NVIDIA 控制器无法设置正确的显示分辨率。通过此更新，已修正错误代码，受影响的 NVIDIA 控制器现在可以设置正确的显示分辨率。(BZ#1114869)

* 由于 be2net 驱动程序中存在空指针取消引用缺陷，因此在永久失败之后禁用网络适配器时，系统会遭遇内核 oops 并重新启动。已通过引入标记来跟踪安装状态修复了此问题。现在可以在不引起内核崩溃的情况下成功禁用失效的适配器。
(BZ#1122558)

* 以前，大型传输后备缓冲器 (HugeTLB) 默认允许访问大型页面。但是，某些环境中（例如 PowerPC 架构上的 KVM 客户机）可能不支持大型页面，并且尝试访问内存中的大型页面时会导致内核 oops。此更新确保 HugeTLB 会在系统不支持大型页面的情况下拒绝访问大型页面。(BZ#1122115)

* 如果 NVMe 设备已准备就绪但无法创建 I/O 队列，nvme 驱动程序将创建字符设备句柄来管理此类设备。
以前，可以在初始化设备引用计数器之前创建字符设备，这将导致内核 oops。
已通过调用代码中较早的相关初始化函数修复了此问题。(BZ#1119720)

* 在 BladeEngine 3 (BE3) 控制器的某些固件版本上，中断会在硬件重置之后保持禁用状态。所有使用此类 BE3 控制器的基于 Emulex 的网络适配器都存在此问题，因为这些适配器无法从 EEH 错误中恢复正常（如果发生此错误）。为解决此问题，已对 be2net 驱动程序进行修改，以便明确地在 eeh_resume 处理程序中启用中断。
(BZ#1121712)

建议所有内核用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动系统才能使此更新生效。

更新后的 axis 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Apache Axis 是 SOAP（简单对象访问协议）的实现。可用于构建 Web 服务客户端和服务器。

已发现 Axis 错误地从 X.509 证书主题的公用名 (CN) 字段中提取主机名。中间人攻击者可利用此缺陷，使用特别构建的 X.509 证书欺骗 SSL 服务器。(CVE-2014-3596)

有关这些缺陷的更多信息，请参阅“参考”部分中的知识库文章。

此问题由 Red Hat 产品安全团队的 David Jorm 和 Arun Neelicattu 发现。

建议所有 axis 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。必须重新启动使用 Apache Axis 的应用程序才能使更新生效。

更新后的 procmail 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

procmail 程序用于本地邮件投递。除了投递邮件，procmail 还可用于自动过滤、预排序和其他邮件处理作业。

在 procmail 的 formail 实用工具中发现一个基于堆的缓冲区溢出缺陷。使用 formail 处理电子邮件时，远程攻击者可发送含特别构建标头的电子邮件，从而导致 procmail 崩溃，或可能以运行 formail 的用户的身份执行任意代码。
(CVE-2014-3618)

建议所有 procmail 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

更新后的 kernel 程序包修复了多种安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

kernel 程序包包含 Linux 内核，后者是任何 Linux 操作系统的核心。

* 在 futex_wait() 期间对 futex 进行重新排队时，在 Linux 内核的 futex 子系统处理引用计数的方式中发现一个缺陷。
本地非特权用户可利用此缺陷，将用于备份 futex 的内存区域的 inode 或 mm 结构的引用计数器清零，这会引起释放后使用缺陷，从而导致系统崩溃或权限升级。
（CVE-2014-0205，重要）

* 处理通过 VxLAN 接口传入的某些无效数据包时，在 Linux 内核的网络实现处理日志记录的方式中发现空指针取消引用缺陷。远程攻击者可利用此缺陷，通过向此类接口发送特别构建的数据包来造成系统崩溃。（CVE-2014-3535，重要）

* 在 Linux 内核的系统调用审计实现中发现越界内存访问缺陷。在定义了现有审计规则的系统上，本地非特权用户能够利用此缺陷将内核内存泄漏到用户空间，还可能导致系统崩溃。
（CVE-2014-3917，中危）

* 在 Linux 内核的流控制传输协议 (SCTP) 实现处理特定 COOKIE_ECHO 数据包的方式中发现一个整数下溢缺陷。通过发送特别构建的 SCTP 数据包，远程攻击者可利用此缺陷阻止合法连接到需要生成的特定 SCTP 服务器套接字。
（CVE-2014-4667，中危）

Red Hat 在此感谢 Nokia Siemens Networks 的 Gopal Reddy Kodudula 报告 CVE-2014-4667。CVE-2014-0205 问题的安全影响是由 Red Hat 的 Mateusz Guzik 发现的。

此更新还修复多个缺陷。“参考”部分链接的技术札记文档中近期将提供这些更改的文档。

建议所有内核用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动系统才能使此更新生效。

更新后的 jakarta-commons-httpclient 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Jakarta Commons HTTPClient 实现 HTTP 标准的客户端。

已发现 HTTPClient 错误地从 X.509 证书主题的公用名 (CN) 字段中提取主机名。中间人攻击者可利用此缺陷，使用特别构建的 X.509 证书欺骗 SSL 服务器。(CVE-2014-3577)

有关这些缺陷的更多信息，请参阅“参考”部分中的知识库文章。

建议所有 jakarta-commons-httpclient 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

更新后的 kernel 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

kernel 程序包包含 Linux 内核，后者是任何 Linux 操作系统的核心。

* 在 Linux 内核的系统调用审计实现中发现越界内存访问缺陷。在定义了现有审计规则的系统上，本地非特权用户能够利用此缺陷将内核内存泄漏到用户空间，还可能导致系统崩溃。
（CVE-2014-3917，中危）

此更新还修复以下缺陷：

* 在 fsync() 操作的工作负载很重的情况下，日记记录代码（jbd 和 jbd2）中的缺陷会触发 BUG_ON 并导致内核 oops。而且，fdatasync() 无法立即仅以文件大小写出更改。通过向后移植一系列在 Red Hat Enterprise Linux 6 的相应代码中修复这些问题的修补程序，这些问题已得到解决。此更新也改善了 ext3 和 ext4 文件系统的性能。(BZ#1116027)

* 由于 ext4 代码中存在缺陷，如果 inode 大小更改是文件中唯一的元数据更改，fdatasync() 系统调用不会强制将此更改写入磁盘。如果系统意外终止，此缺陷会导致 inode 大小出错，并可能丢失数据。已修复处理 inode 更新的代码，现在 fdatasync() 在此情况下会按预期方式将数据写入磁盘。(BZ#1117665)

* 错误地将针对 tg3 驱动程序中 DMA 读取问题的变通方案应用到整个 Broadcom 5719 和 5720 芯片组系列。此变通方案仅对 5719 芯片的 A0 修订版有效，对于其他修订版和芯片有时会导致 Tx 超时。此更新仅将上述变通方案应用到 5719 芯片的 A0 修订版。(BZ#1121017)

* 由于页面回写代码中存在缺陷，在内存压力较大且 NFS 负载较重时，系统处于无响应状态。此更新修复了用于处理脏页的代码，并且脏页写出不会再淹没工作队列。(BZ#1125246)

建议所有内核用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动系统才能使此更新生效。

更新后的 squid 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Squid 是针对 Web 客户端的高性能代理缓存服务器，支持 FTP、Gopher 和 HTTP 数据对象。

在 Squid 处理畸形 HTTP 范围标头的方式中发现一个缺陷。如果远程攻击者能够向 Squid 代理发送 HTTP 请求，则可利用此缺陷造成 Squid 崩溃。(CVE-2014-3609)

在 Squid 的 DNS 查找模块中发现一个缓冲区溢出缺陷。如果远程攻击者能够向 Squid 代理发送 HTTP 请求，则可利用此缺陷造成 Squid 崩溃。(CVE-2013-4115)

Red Hat 在此感谢 Squid 项目报告 CVE-2014-3609 问题。上游感谢原始报告者 Matthew Daley。

建议所有 Squid 用户升级此更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装此更新后，squid 服务将自动重新启动。

更新后的 squid 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Squid 是针对 Web 客户端的高性能代理缓存服务器，支持 FTP、Gopher 和 HTTP 数据对象。

在 Squid 处理畸形 HTTP 范围标头的方式中发现一个缺陷。如果远程攻击者能够向 Squid 代理发送 HTTP 请求，则可利用此缺陷造成 Squid 崩溃。(CVE-2014-3609)

Red Hat 在此感谢 Squid 项目报告此问题。上游感谢原始报告者 Matthew Daley。

建议所有　Squid 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。安装此更新后，squid 服务将自动重新启动。

更新后的 httpcomponents-client 程序包修复了一个安全问题，现可用于Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

HttpClient 是基于 httpcomponents HttpCore 的兼容 HTTP/1.1 的 HTTP 代理实现。

已发现 HttpClient 错误地从 X.509 证书主题的公用名 (CN) 字段中提取主机名。中间人攻击者可利用此缺陷，使用特别构建的 X.509 证书欺骗 SSL 服务器。(CVE-2014-3577)

有关这些缺陷的更多信息，请参阅“参考”部分中的知识库文章。

建议所有 httpcomponents-client 用户升级这些更新后的程序包，其中包含用于修复此问题的向后移植的修补程序。

更新后的 thunderbird 程序包修复了两个安全问题，现可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Mozilla Thunderbird 是独立的邮件和新闻组客户端。

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可能导致 Thunderbird 崩溃，或者可能以运行 Thunderbird 的用户的权限执行任意代码。（CVE-2014-1562、CVE-2014-1567）

Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢 CVE-2014-1562 的原始报告者 Jan de Mooij 和 CVE-2014-1567 的原始报告者 regenrecht。

注意：特别构建的 HTML 邮件消息无法利用所有上述问题，因为在默认情况下，邮件消息禁用 JavaScript。在 Thunderbird 中可采用另一种方式利用这些问题，例如查看 RSS 源的完整远程内容时。

有关这些缺陷的技术详细信息，请参阅针对 Thunderbird 24.8.0 的 Mozilla 安全公告。在本勘误表的“参考”部分可以找到 Mozilla 公告的链接。

所有 Thunderbird 用户都应升级这些更新后的程序包，其中包含已修正了这些问题的 Thunderbird 版本 24.8.0。
安装更新后，必须重新启动 Thunderbird 才能使更改生效。

更新后的 firefox 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Mozilla Firefox 是一款开源 Web 浏览器。XULRunner 提供用于 Mozilla Firefox 的 XUL Runtime 环境。

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2014-1562、CVE-2014-1567）

Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢 CVE-2014-1562 的原始报告者 Jan de Mooij 和 CVE-2014-1567 的原始报告者 regenrecht。

有关这些缺陷的技术详细信息，请参阅 Firefox 24.8.0 ESR 的 Mozilla 安全公告。在本勘误表的“参考”部分可以找到 Mozilla 公告的链接。

所有 Firefox 用户应升级这些更新后的程序包，其中包含已修正了这些问题的 Firefox 版本 24.8.0 ESR。安装更新后，必须重新启动 Firefox 才能使更改生效。

更新后的 glibc 程序包修复了两个安全问题，现在可用于Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

glibc 程序包中包含系统上多个程序使用的标准 C 库。这些程序包中包含标准 C 和标准数学库。如果没有这两个库，Linux 系统无法正常运作。

在 glibc 的内部 __gconv_translit_find() 函数中发现差一基于堆的缓冲区溢出缺陷。如果攻击者能够使应用程序调用含特别构建参数的 iconv_open() 函数，则可能利用此缺陷以该应用程序的权限执行任意代码。(CVE-2014-5119)

在 glibc 加载区域设置文件的方式中发现目录遍历缺陷。如果攻击者能够使应用程序使用特别构建的区域设置名称值（例如，在 LC_* 环境变量中指定的值），则可能利用此缺陷以该应用程序的权限执行任意代码。(CVE-2014-0475)

Red Hat 在此感谢 Stephane Chazelas 报告 CVE-2014-0475。

建议所有 glibc 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

更新后的 mod_wsgi 程序包修复了一个安全问题，现可用于Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

mod_wsgi 适配器是一个 Apache 模块，提供了在 Apache 中托管基于 Python 的 Web 应用程序的符合 WSGI 的接口。

已发现在调用 setuid() 失败的情况下 mod_wsgi 未正确终止权限。如果 mod_wsgi 设置为允许非特权用户运行 WSGI 应用程序，则能够运行 WSGI 应用程序的本地用户可能利用此缺陷升级其在系统上的权限。(CVE-2014-0240)

注意：mod_wsgi 并不会为 WSGI 应用程序提供权限分离。依赖 mod_wsgi 限制或沙盒化 mod_wsgi 应用程序的权限的系统应改为使用具有适当权限分离的不同解决方案。

Red Hat 在此感谢 Graham Dumpleton 报告此问题。
上游感谢原始报告者 Róbert Kisteleki。

建议所有 mod_wsgi 用户升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

ID	名称	严重性
79149	CentOS 5：php53 (CESA-2013:1307)	critical
79148	CentOS 5：xinetd (CESA-2013:1302)	medium
78895	CentOS 5：php (CESA-2014:1824)	high
78876	CentOS 6：mod_auth_mellon (CESA-2014:1803)	high
78860	CentOS 7：cups-filters (CESA-2014:1795)	medium
78783	CentOS 5：php53 (CESA-2014:1768)	high
78782	CentOS 6/7：php (CESA-2014:1767)	high
78751	CentOS 6 / 7：wget (CESA-2014:1764)	high
78702	CentOS 7：kernel (CESA-2014: 1724)	medium
78609	CentOS 5：wireshark (CESA-2014:1677)	medium
78608	CentOS 6 / 7：wireshark (CESA-2014:1676)	medium
78607	CentOS 5 / 6：rsyslog / rsyslog5 (CESA-2014:1671)	high
78606	CentOS 7：qemu-kvm (CESA-2014:1669)	low
78605	CentOS 6 / 7：libxml2 (CESA-2014:1655)	medium
78517	CentOS 5：openssl (CESA-2014:1653) (POODLE)	low
78516	CentOS 6 / 7：openssl (CESA-2014: 1652)	low
78490	CentOS 5 / 6：thunderbird (CESA-2014:1647)	high
78489	CentOS 5 / 6 / 7：firefox (CESA-2014:1635)	high
78488	CentOS 5 / 6 / 7：java-1.6.0-openjdk (CESA-2014:1634)	medium
78487	CentOS 5：java-1.7.0-openjdk (CESA-2014:1633)	medium
78486	CentOS 6 / 7：java-1.7.0-openjdk (CESA-2014:1620)	medium
78397	CentOS 7：rsyslog (CESA-2014:1397)	high
78396	CentOS 5：krb5 (CESA-2014:1255)	high
78070	CentOS 7：polkit-qt (CESA-2014:1359)	medium
78043	CentOS 7：libvirt (CESA-2014:1352)	medium
77996	CentOS 7：php (CESA-2014:1327)	medium
77995	CentOS 5 / 6：php / php53 (CESA-2014:1326)	medium
77994	CentOS 6 / 7：xerces-j2 (CESA-2014:1319)	high
77993	CentOS 5：nss (CESA-2014:1246)	critical
77992	CentOS 5：krb5 (CESA-2014:1245)	high
77991	CentOS 5：bind97 (CESA-2014:1244)	low
77990	CentOS 5：automake (CESA-2014:1243)	medium
77989	CentOS 5：conga (CESA-2014:1194)	medium
77918	CentOS 5 / 6 / 7：nss (CESA-2014:1307)	high
77879	CentOS 5 / 6 / 7：bash (CESA-2014:1306)	critical
77835	CentOS 5 / 6 / 7：bash (CESA-2014:1293) (Shellshock)	critical
77834	CentOS 7：haproxy (CESA-2014:1292)	medium
77781	CentOS 7：kernel (CESA-2014:1281)	low
77692	CentOS 5 / 6：axis (CESA-2014:1193)	medium
77609	CentOS 5 / 6 / 7：procmail (CESA-2014:1172)	high
77584	CentOS 6：kernel (CESA-2014:1167)	high
77564	CentOS 5 / 6 / 7：jakarta-commons-httpclient (CESA-2014:1166)	medium
77546	CentOS 5：kernel (CESA-2014:1143)	low
77509	CentOS 5 / 6：squid (CESA-2014:1148)	high
77508	CentOS 7：squid (CESA-2014:1147)	medium
77507	CentOS 7：httpcomponents-client (CESA-2014:1146)	medium
77506	CentOS 5 / 6：thunderbird (CESA-2014:1145)	critical
77505	CentOS 5 / 6 / 7：firefox / xulrunner (CESA-2014:1144)	critical
77439	CentOS 5 / 6 / 7：glibc (CESA-2014:1110)	high
77384	CentOS 7：mod_wsgi (CESA-2014:1091)	medium

检测

Nessus 的 CentOS Local Security Checks 系列

critical

medium

high

high

medium

high

high

high

medium

medium

medium

high

low

medium

low

low

high

high

medium

medium

medium

high

high

medium

medium

medium

medium

high

critical

high

low

medium

medium

high

critical

critical

medium

low

medium

high

high

medium

low

high

medium

medium

critical

critical

high

medium