Ben Murphy 在 OpenJDK JRE 中发现一个与信息泄露和数据完整性相关的漏洞。攻击者可利用此缺陷执行任意代码。(CVE-2013-0401)

James Forshaw 发现 OpenJDK JRE 中存在与信息泄露、数据完整性和可用性相关的漏洞。攻击者可利用此缺陷执行任意代码。(CVE-2013-1488)

在 OpenJDK JRE 中发现多个与信息泄露、数据完整性和可用性相关的漏洞。攻击者可利用这些漏洞造成拒绝服务或在网络中暴露敏感数据。（CVE-2013-1518、CVE-2013-1537、CVE-2013-1557、CVE-2013-1569、CVE-2013-2383、CVE-2013-2384、CVE-2013-2420、CVE-2013-2421、CVE-2013-2422、CVE-2013-2426、CVE-2013-2429、CVE-2013-2430、CVE-2013-2431、CVE-2013-2436）

在 OpenJDK JRE 中发现两个与机密性相关的漏洞。攻击者可利用这些漏洞在网络中暴露敏感数据。（CVE-2013-2415、CVE-2013-2424）

在 OpenJDK JRE 中发现两个与可用性相关的漏洞。攻击者可利用这些漏洞造成拒绝服务。（CVE-2013-2417、CVE-2013-2419）

在 OpenJDK JRE 中发现一个与数据完整性相关的漏洞。(CVE-2013-2423)。

来自 Red Hat 安全公告 2013:0752：

更新后的 java-1.7.0-openjdk 程序包修复了各种安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Software Development Kit。

在 2D 组件的字体布局引擎中发现多种缺陷。不受信任的 Java 应用程序或小程序可能利用这些缺陷触发 Java 虚拟机内存损坏。
（CVE-2013-1569、CVE-2013-2383、CVE-2013-2384）

在 OpenJDK 的 Beans、Libraries、JAXP 和 RMI 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。（CVE-2013-1558、CVE-2013-2422、CVE-2013-2436、CVE-2013-1518、CVE-2013-1557）

java.rmi.server.useCodebaseOnly 属性之前的默认值允许 RMI 实现自动从远程指定的位置加载类。能够使用 RMI 连接到应用程序的攻击者可利用该缺陷，使该应用程序执行任意代码。(CVE-2013-1537)

注意：针对 CVE-2013-1537 的补丁将属性的默认值更改为 true，从而限制类加载到本地 CLASSPATH 和 java.rmi.server.codebase 属性所指定的位置。请参阅 Red Hat Bugzilla 缺陷 952387，了解更多详细信息。

2D 组件没有正确处理某些图像。不受信任的 Java 应用程序或小程序可能利用此缺陷触发 Java 虚拟机内存损坏。(CVE-2013-2420)

已发现 Hotspot 组件没有正确处理某些内在框架，并且没有正确执行访问权限检查和 MethodHandle 查找。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2013-2431、CVE-2013-2421、CVE-2013-2423）

已发现在执行某些本机代码操作时，ImageIO 组件中的 JPEGImageReader 和 JPEGImageWriter 没有防止对其状态的修改。不受信任的 Java 应用程序或小程序可能利用这些缺陷触发 Java 虚拟机内存损坏。（CVE-2013-2429、CVE-2013-2430）

JDBC 驱动程序管理器没有正确调用 JDBC 驱动程序中的 toString() 方法，ConcurrentHashMap 类没有正确调用 defaultReadObject() 方法。不受信任的 Java 应用程序或小程序可能利用这些缺陷绕过 Java 沙盒限制。（CVE-2013-1488、CVE-2013-2426）

sun.awt.datatransfer.ClassLoaderObjectInputStream 类可能没有正确调用系统类装载器。不受信任的 Java 应用程序或小程序可能利用此缺陷绕过某些 Java 沙盒限制。(CVE-2013-0401)

在 Network 组件的 InetAddress 串行化以及 2D 组件的字体处理中发现多个缺陷。不受信任的 Java 应用程序或小程序可能利用这些缺陷使 Java 虚拟机崩溃。（CVE-2013-2417、CVE-2013-2419）

OpenJDK JMX 组件中的 MBeanInstantiator 类实现没有在创建新实例之前正确检查类访问。不受信任的 Java 应用程序或小程序可能利用该缺陷创建非公共类的实例。(CVE-2013-2424)

已发现 JAX-WS 可能以不安全的权限创建临时文件。本地攻击者可利用该缺陷，访问由使用 JAX-WS 的应用程序所创建的临时文件。
(CVE-2013-2415)

此勘误表还将 OpenJDK 程序包升级到 IcedTea7 2.3.9。
有关更多信息，请参阅“参考”中链接的 NEWS 文件。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

- 在 openSUSE 12.3+ 中应用 aarch64 修补程序，较早的版本中未定义 EM_AARCH64

- 更新到 icedtea-2.3.9 (bnc#816720)

- 安全补丁

- S6657673、CVE-2013-1518：JAXP 问题

- S7200507：重构 Introspector 内部

- S8000724、CVE-2013-2417：改进网络序列化

- S8001031、CVE-2013-2419：优化字体处理

- S8001040、CVE-2013-1537：重做 RMI 模型

- S8001322：重构反序列化

- S8001329、CVE-2013-1557：增加 RMI 记录

- S8003335：优化对终结器线程的处理

- S8003445：调整 JAX-WS 以瞄准 API

- S8003543、CVE-2013-2415：改进对 MTOM 附件的处理

- S8004261：改进输入验证

- S8004336、CVE-2013-2431：优化对方法句柄内在帧的处理

- S8004986、CVE-2013-2383：优化对字形表的处理

- S8004987、CVE-2013-2384：改进字体布局

- S8004994、CVE-2013-1569：改进对字形表的检查

- S8005432：更新对 JAX-WS 的访问

- S8005943：（进程）改进的 Runtime.exec

- S8006309：更可靠的控制面板操作

- S8006435、CVE-2013-2424：JMX 中的改进

- S8006790：改进对 Windows 的检查

- S8006795：改进字体警告消息

- S8007406：改进 AccessBridge 可访问性

- S8007617、CVE-2013-2420：优化图像验证

- S8007667、CVE-2013-2430：优化图像读取

- S8007918、CVE-2013-2429：优化图像写入

- S8008140：优化方法句柄解析

- S8009049，CVE-2013-2436：优化方法句柄绑定

- S8009063、CVE-2013-2426：改进 ConcurrentHashMap 的可靠性

- S8009305、CVE-2013-0401：改进 AWT 数据传输

- S8009677，CVE-2013-2423：优化资源库设置

- S8009699、CVE-2013-2421：Methodhandle 查找

- S8009814、CVE-2013-1488：优化驱动程序管理

- S8009857、CVE-2013-2422：插件有问题

- 向后移植

- S7130662，RH928500：使用 NPE 时造成 GTK 文件对话框崩溃

- 缺陷补丁

- PR1363：Fedora 19 / rawhide FTBFS SIGILL

- PR1401：修复了 2.3.8 上的 Zero 版本

- 修复了 ICU LETableReference 中的偏移问题。

- 更改 -Werror 补丁，以保留 OpenJDK 默认设置。

- PR1303：将 #ifdef 修正为 #if

- PR1404：通过 ecj 4.2 启动失败

- 添加了 url 作为来源。请参阅 http://en.opensuse.org/SourceUrls

- icedtea-2.3.8-zero-patches.patch：删除不适用于零兼容热点的修补程序

- java-1.7.0-openjdk-fork.patch：添加对无 fork syscall 架构的支持

- java-1.7.0-openjdk-aarch64.patch：添加对 aarch64 的支持

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
66200	Ubuntu 12.10：openjdk-7 vulnerabilities (USN-1806-1)	Nessus	Ubuntu Local Security Checks	2013/4/24	2022/5/25	critical
68812	Oracle Linux 5：java-1.7.0-openjdk (ELSA-2013-0752)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical
74990	openSUSE 安全更新：java-1_7_0-openjdk (openSUSE-SU-2013:0745-1)	Nessus	SuSE Local Security Checks	2014/6/13	2022/5/25	critical

检测

插件搜索

critical

critical

critical