遠端主機受到 GLSA-201502-12 中所述弱點的影響 (Oracle JRE/JDK：多個弱點)

在 Oracle 的 Java SE 開發套件和 Java Runtime Environment 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

內容相依的攻擊者可能執行任意程式碼、洩漏、更新、插入或刪除特定資料。
 因應措施：

目前尚無已知的因應措施。

遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2014:1876 公告中提及的多個弱點影響。

    IBM Java SE 版本 7 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

    此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。有關弱點的詳細描述，請查閱〈參考資料〉一節所列的 IBM「安全性警示」頁面連結。(CVE-2014-3065、CVE-2014-3566、CVE-2014-4288、CVE-2014-6456、CVE-2014-6457、CVE-2014-6458、CVE-2014-6476、CVE-2014-6492、CVE-2014-6493、CVE-2014-6502、CVE-2014-6503、CVE-2014-6506、CVE-2014-6511、CVE-2014-6512、CVE-2014-6515、CVE-2014-6527、CVE-2014-6531、CVE-2014-6532、CVE-2014-6558)

    CVE-2014-6512 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

    注意：透過此更新，IBM SDK 現在停用了 SSL 3.0 通訊協定，藉此解決 CVE-2014-3566 問題 (亦稱為 POODLE)。請參閱＜參照＞一節中連結提供的 IBM 文章，瞭解更多有關此變更的資訊，以及在必要時如何重新啟用 SSL 3.0 支援的指示說明。

    建議所有 java-1.7.0-ibm 使用者皆升級至這些更新版套件，其中包含 IBM Java SE 7 SR8 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 6 Supplementary 的更新版 java-1.7.0-ibm 套件，可修正數個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

[已更新 2014 年 12 月 2 日] 此公告已更新，其中包含更新版 java-1.7.0-ibm-jdbc 和 java-1.7.0-ibm-plugin 套件，先前，此錯字勘誤表中遺漏了這兩個套件。此錯字勘誤表中的其他套件都沒有變更。

IBM Java SE 版本 7 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。IBM 「安全性警示」頁面會詳細說明這些弱點，如<參照>一節中所列。(CVE-2014-3065、CVE-2014-3566、CVE-2014-4288、CVE-2014-6456、CVE-2014-6457、CVE-2014-6458、CVE-2014-6476、CVE-2014-6492、CVE-2014-6493、CVE-2014-6502、CVE-2014-6503、CVE-2014-6506、CVE-2014-6511、CVE-2014-6512、CVE-2014-6515、CVE-2014-6527、CVE-2014-6531、CVE-2014-6532、CVE-2014-6558)

CVE-2014-6512 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

注意：透過此更新，IBM SDK 現在停用了 SSL 3.0 通訊協定，藉此解決 CVE-2014-3566 問題 (亦稱為 POODLE)。請參閱＜參照＞一節中連結提供的 IBM 文章，瞭解更多有關此變更的資訊，以及在必要時如何重新啟用 SSL 3.0 支援的指示說明。

注意：這是透過 Red Hat Enterprise Linux 6 Supplementary 通道發佈的 java-1.7.0-ibm 套件最新更新。
RHEA-2014:1619 公告，在 Red Hat Enterprise Linux 6.6 中發佈，引入新的 java-1.7.1-ibm 套件。這些套件包含 IBM Java SE 7 版 Release 1，其中 java-1.7.0-ibm 套件為 IBM Java SE 7 版新增了多個增強功能。所有 java-1.7.0-ibm 使用者皆應移轉至 java-1.7.1-ibm 套件，以便繼續透過 Red Hat Enterprise Linux 6 Supplementary 通道收到 IBM Java SE 7 版的更新。

建議所有 java-1.7.0-ibm 使用者皆升級至這些更新版套件，其中包含 IBM Java SE 7 SR8 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

java-1_6_0-ibm 已更新至 1.6.0_sr16.2 版，修正了 18 個安全性問題。

已修正這些安全性問題：

- Oracle Java SE 6u81 中有不明弱點。
 (CVE-2014-3065)

- 1.0.1i 及其之前版本的 OpenSSL 及其他產品中所用的 SSL 通訊協定 3.0 會使用不具決定性的 CBC 填補，這讓攔截式攻擊者更容易透過填補 oracle 攻擊取得純文字資料 (即「POODLE」問題)。(CVE-2014-3566)

- Oracle Java SE 6u81、7u67 和 8u20，以及 Java SE Embedded 7u60 中有一個不明弱點，會讓遠端攻擊者透過與 AWT 相關的向量，影響機密性、完整性和可用性。(CVE-2014-6513)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量，影響機密性、完整性和可用性；該弱點和 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6532 不同。
 (CVE-2014-6503)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量，影響機密性、完整性和可用性；該弱點和 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6503 不同。
 (CVE-2014-6532)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量，影響機密性、完整性和可用性；該弱點和 CVE-2014-6493 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-4288)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量，影響機密性、完整性和可用性；該弱點和 CVE-2014-4288 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-6493)

- Oracle Java SE 6u81、7u67 和 8u20 在 Firefox 中執行時會出現一個不明弱點，這會讓遠端攻擊者透過與部署相關的未知向量，影響機密性、完整性和可用性。
 (CVE-2014-6492)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓本機使用者透過與部署相關的未知向量，影響機密性、完整性和可用性。(CVE-2014-6458)

- Oracle Java SE 6u81、7u67 和 8u20 在 Internet Explorer 中執行時會出現一個不明弱點，會讓本機使用者透過與部署相關的未知向量，影響機密性、完整性和可用性。
 (CVE-2014-6466)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20，以及 Java SE Embedded 7u60 中有一個不明弱點，會讓遠端攻擊者透過與程式庫相關的未知向量，影響機密性、完整性和可用性。(CVE-2014-6506)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量影響完整性。(CVE-2014-6515)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與 2D 相關的未知向量影響機密性。
 (CVE-2014-6511)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20，以及 Java SE Embedded 7u60 中有一個不明弱點，會讓遠端攻擊者透過與程式庫相關的未知向量影響機密性。(CVE-2014-6531)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20、Java SE Embedded 7u60，以及 JRockit R27.8.3 和 R28.3.3 中有一個不明弱點，會讓遠端攻擊者透過與程式庫相關的未知向量影響完整性。
 (CVE-2014-6512)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20、Java SE Embedded 7u60，以及 JRockit R27.8.3 和 R28.3.3 中有一個不明弱點，會讓遠端攻擊者透過與 JSSE 相關的向量影響機密性和完整性。(CVE-2014-6457)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20，以及 Java SE Embedded 7u60 中有一個不明弱點，會讓遠端攻擊者透過與程式庫相關的未知向量影響完整性。(CVE-2014-6502)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20、Java SE Embedded 7u60，以及 JRockit R27.8.3 和 JRockit R28.3.3 中有一個不明弱點，會讓遠端攻擊者透過與安全性相關的未知向量影響完整性。(CVE-2014-6558)

如需詳細資訊，請參閱 http://www.ibm.com/developerworks/java/jdk/alerts/#IBM_Security_Update
_November_2014

远程主机受到 GLSA-201502-12 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

在 Oracle 的 Java SE 开发工具包和运行时环境中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

上下文有关的攻击者可能能够执行任意代码，泄露、更新、插入或删除某些数据。
 变通方案：

目前无任何已知的变通方案。

远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2014:1876 公告中提及的多个漏洞的影响。

    IBM Java SE 版本 7 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

    此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。详细的漏洞描述信息链接自 IBM“安全警报”页面，此页面列于“参考”部分。(CVE-2014-3065, CVE-2014-3566, CVE-2014-4288, CVE-2014-6456, CVE-2014-6457, CVE-2014-6458, CVE-2014-6476, CVE-2014-6492, CVE-2014-6493, CVE-2014-6502, CVE-2014-6503, CVE-2014-6506, CVE-2014-6511, CVE-2014-6512, CVE-2014-6515, CVE-2014-6527, CVE-2014-6531, CVE-2014-6532, CVE-2014-6558)

    CVE-2014-6512 问题由 Red Hat 产品安全的 Florian Weimer 发现。

    注意：通过此更新，IBM SDK 现在会禁用 SSL 协议以处理 3.0 问 CVE-2014-3566 题（也称为 POODLE）。有关此更改的详细信息，以及有关如何重新启用 SSL 3.0 支持（如有必要）的说明，请参阅“参考”部分中链接的 IBM 文章。

    建议所有 java-1.7.0-ibm 用户升级到这些到更新后的程序包，其中包含 IBM Java SE 7 SR8 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 java-1.7.0-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6 Supplementary。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

[2014 年 12 月 2 日更新] 此公告已更新，包括了此勘误表中以前缺少的更新后的 java-1.7.0-ibm-jdbc 和 java-1.7.0-ibm-plugin 程序包。未对此勘误表中的其他程序包进行任何变更。

IBM Java SE 版本 7 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。详细的漏洞描述信息链接自 IBM“安全警报”页面，此页面列于“参考”部分中。（CVE-2014-3065、CVE-2014-3566、CVE-2014-4288、CVE-2014-6456、CVE-2014-6457、CVE-2014-6458、CVE-2014-6476、CVE-2014-6492、CVE-2014-6493、CVE-2014-6502、CVE-2014-6503、CVE-2014-6506、CVE-2014-6511、CVE-2014-6512、CVE-2014-6515、CVE-2014-6527、CVE-2014-6531、CVE-2014-6532、CVE-2014-6558）

CVE-2014-6512 问题由 Red Hat 产品安全的 Florian Weimer 发现。

注意：通过此更新，IBM SDK 现在会禁用 SSL 3.0 协议以处理 CVE-2014-3566 问题（也称为 POODLE）。有关此更改的详细信息，以及有关如何重新启用 SSL 3.0 支持（如有必要）的说明，请参阅“参考”部分中链接的 IBM 文章。

注意：这是通过 Red Hat Enterprise Linux 6 补充渠道分发的 java-1.7.0-ibm 程序包的最后更新。
RHEA-2014:1619 公告作为 Red Hat Enterprise Linux 6.6 的一部分发布，引入了新的 java-1.7.1-ibm 程序包。这些程序包含有 IBM Java SE 版本 7 Release 1，此版本在 IBM Java SE 版本 7 中 java-1.7.0-ibm 程序包的基础上增加了多项增强。所有 java-1.7.0-ibm 用户必须迁移到 java-1.7.1-ibm 程序包，以继续通过 Red Hat Enterprise Linux 6 补充渠道接收 IBM Java SE 版本 7 的更新。

建议所有 java-1.7.0-ibm 用户升级到这些到更新后的程序包，其中包含 IBM Java SE 7 SR8 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

java-1_6_0-ibm 已更新到版本 1.6.0_sr16.2，修复了 18 个安全问题。

已修复这些安全问题：

- Oracle Java SE 6u81 中的不明漏洞。
 (CVE-2014-3065)

- SSL 协议 3.0 通过 1.0.1i 等产品在 OpenSSL 中使用，它使用非确定性的 CBC 填充，这使得中间人攻击者更容易通过填充 Oracle 攻击（即“POODLE”问题）来获得明文数据。(CVE-2014-3566)

- Oracle Java SE 6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞，允许远程攻击者通过与 AWT 相关的矢量影响机密性、完整性和可用性。(CVE-2014-6513)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6532 不同。
 (CVE-2014-6503)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6503 不同。
 (CVE-2014-6532)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-6493 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-4288)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-6493)

- 在 Firefox 中运行时，Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性。
 (CVE-2014-6492)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性。(CVE-2014-6458)

- 在 Internet Explorer 中运行时，Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许本地用户通过与部署相关的未知矢量影响机密性、完整性和可用性。
 (CVE-2014-6466)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响机密性、完整性和可用性。(CVE-2014-6506)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响完整性。(CVE-2014-6515)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与 2D 相关的未知矢量影响机密性。
 (CVE-2014-6511)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响机密性。(CVE-2014-6531)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 R28.3.3 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响完整性。
 (CVE-2014-6512)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 R28.3.3 中的不明漏洞允许远程攻击者通过与 JSSE 相关的矢量影响机密性和完整性。(CVE-2014-6457)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响完整性。(CVE-2014-6502)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 JRockit R28.3.3 中的不明漏洞允许远程攻击者通过与安全相关的未知矢量影响完整性。(CVE-2014-6558)

有关更多信息，请访问：http://www.ibm.com/developerworks/java/jdk/alerts/#IBM_Security_Update_November_2014

Oracle's October 2014 security update for Java fixes remote and local vulnerabilities in the following components of the Java SE JDK/JRE:

  - 2D
  - AWT
  - Deployment
  - Hotspot
  - JAXP
  - JSSE
  - JavaFX
  - Libraries
  - Security

Twenty-two of these 25 fixed vulnerabilities may be remotely exploitable without authentication, i.e., may be exploited over a network without the need for a username and password. no further details have been released by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
81370	GLSA-201502-12：Oracle JRE/JDK：多個弱點	Nessus	Gentoo Local Security Checks	2015/2/16	2021/1/11	critical
79351	RHEL 5：java-1.7.0-ibm (RHSA-2014:1876)	Nessus	Red Hat Local Security Checks	2014/11/20	2025/3/20	low
79379	RHEL 6 : java-1.7.0-ibm (RHSA-2014:1882) (POODLE)	Nessus	Red Hat Local Security Checks	2014/11/21	2025/3/24	low
79634	SuSE 11.3 安全性更新：IBM Java (SAT 修補程式編號 9992)	Nessus	SuSE Local Security Checks	2014/12/1	2023/6/28	critical
81370	GLSA-201502-12：Oracle JRE/JDK：多种漏洞	Nessus	Gentoo Local Security Checks	2015/2/16	2021/1/11	critical
79351	RHEL 5/6：java-1.7.0-ibm (RHSA-2014:1876)	Nessus	Red Hat Local Security Checks	2014/11/20	2025/3/20	low
79379	RHEL 6：java-1.7.0-ibm (RHSA-2014:1882) (POODLE)	Nessus	Red Hat Local Security Checks	2014/11/21	2025/3/24	low
79634	SuSE 11.3 安全更新：IBM Java（SAT 修补程序编号 9992）	Nessus	SuSE Local Security Checks	2014/12/1	2023/6/28	critical
8550	Oracle Java Update (October 2014) Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2014/10/15	2019/3/6	critical

检测

插件搜索

critical

low

low

critical

critical

low

low

critical

critical