远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2015:1228 公告中提及的多个漏洞影响。

    java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。

    在 2D、CORBA、JMX、Libraries 以及 OpenJDK 的 RMI 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。(CVE-2015-4760, CVE-2015-2628, CVE-2015-4731, CVE-2015-2590, CVE-2015-4732, CVE-2015-4733)

    在 OpenJDK Libraries 组件验证在线证书状态协议 (OCSP) 响应的方式中发现一个缺陷。未能正确处理 nextUpdate 日期不明的 OCSP 响应，原因是其具有无限有效性，从而可能导致将已撤销的 X.509 证书解释为有效。(CVE-2015-4748)

    已发现 OpenJDK 中的 JCE 组件在多种情况下未能使用常量时间比较。攻击者可能利用此缺陷，使用非常量时间比较测量用于执行操作的时间，从而泄露敏感信息。
    (CVE-2015-2601)

    已发现 OpenJDK 安全组件中的 GCM（Galois 计数器模式）实现未能正确执行空值检查。
    此问题可能导致，当应用程序在 GCM 模式下使用块密码执行加密时，Java 虚拟机发生崩溃。(CVE-2015-2659)

    在 RC4 加密算法中发现一个缺陷。使用特定密钥进行 RC4 加密时，攻击者可能在不知晓加密密钥的情况下获取加密文本的部分纯文本。
    (CVE-2015-2808)

    注意：通过此更新，OpenJDK 现在可以默认禁用 RC4 TLS/SSL 加密套件以解决 CVE-2015-2808 问题。有关此更改的更多详细信息，请参阅链接到“参考”部分的 Red Hat Bugzilla 缺陷 1207101。

    发现 TLS 协议构建 Diffie-Hellman (DH) 密钥交换的方式中存在缺陷。中间人攻击者能够利用此缺陷在密钥交换期间强制使用弱 512 位出口级密钥，允许其解密所有流量。(CVE-2015-4000)

    注意：此更新强制 OpenJDK 中的 TLS/SSL 实现拒绝大小在 768 位以下的 DH 密钥，从而避免会话降级至出口级密钥。有关此更改的更多详细信息，请参阅链接到“参考”部分的 Red Hat Bugzilla 缺陷 1223211。

    现已发现 OpenJDK 中的 JNDI 组件未能正确处理 DNS 解析。攻击者可能触发 DNS 错误并导致 Java 应用程序使用 JNDI 消耗内存和 CPU 时间，并进一步阻碍 DNS 解析。(CVE-2015-4749)

    在 OpenJDK 的 JMX 和 2D 组件中发现多种信息泄漏缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。(CVE-2015-2621, CVE-2015-2632)

    在建立到 IP 地址识别主机的 TLS/SSL 连接时，OpenJDK JSSE 组件执行 X.509 证书身份验证的方式中发现一个缺陷。在某些情况下，如果发布证书对应主机名为 IP 地址解析结果，而不是 IP 地址，则可能将证书视为有效并接受证书。(CVE-2015-2625)

    在 OpenJDK 的 Hotspot 组件创建性能统计数据和错误日志文件的方式中发现多种不安全的临时文件使用问题。本地攻击者可能通过符号链接攻击，令使用 OpenJDK 的受害者覆盖任意文件。注意：该问题此前在 CVE-2015-0383 中已得到修复，但 RHSA-2015:0809 公告退回了修复。(CVE-2015-3149)

    建议所有 java-1.8.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，更新才能生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle（旧称 Sun）Java SE 或 Java for Business 的版本低于 8 Update 51、7 Update 85 或 6 Update 101。因此，它受到以下组件中的安全漏洞影响：

- 2D
 - CORBA
 - Deployment
 - Hotspot
 - Install
 - JCE
 - JMX
 - JNDI
 - JSSE
 - Libraries
 - RMI
 - Security

发现 2D、CORBA、JMX、Libraries 以及 OpenJDK 的 RMI 组件中存在多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733）

在 OpenJDK Libraries 组件验证在线证书状态协议 (OCSP) 响应的方式中发现一个缺陷。未能正确处理 nextUpdate 日期不明的 OCSP 响应，原因是其具有无限有效性，从而可能导致将已撤销的 X.509 证书解释为有效。(CVE-2015-4748)

已发现 OpenJDK 中的 JCE 组件在多种情况下未能使用常量时间比较。攻击者可能利用此缺陷，使用非常量时间比较测量用于执行操作的时间，从而泄露敏感信息。(CVE-2015-2601)

在 RC4 加密算法中发现一个缺陷。使用特定密钥进行 RC4 加密时，攻击者可能在不知晓加密密钥的情况下获取加密文本的部分纯文本。(CVE-2015-2808)

发现 TLS 协议构建 Diffie-Hellman (DH) 密钥交换的方式中存在缺陷。中间人攻击者能够利用此缺陷在密钥交换期间强制使用弱 512 位出口级密钥，允许其解密所有流量。
(CVE-2015-4000)

现已发现 OpenJDK 中的 JNDI 组件未能正确处理 DNS 解析。攻击者可能触发 DNS 错误并导致 Java 应用程序使用 JNDI 消耗内存和 CPU 时间，并进一步阻碍 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 组件中发现多种信息泄漏缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。
（CVE-2015-2621、CVE-2015-2632）

在建立到 IP 地址识别主机的 TLS/SSL 连接时，OpenJDK JSSE 组件执行 X.509 证书身份验证的方式中发现一个缺陷。在某些情况下，如果发布证书对应主机名为 IP 地址解析结果，而不是 IP 地址，则可能将证书视为有效并接受证书。
(CVE-2015-2625)

必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

更新后的 java-1.5.0-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6 Supplementary。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

IBM J2SE 5.0 版包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。有关以上缺陷的更多信息，请参阅“参考”部分中列出的 IBM Java “安全警报”页面。（CVE-2015-1931、CVE-2015-2590、CVE-2015-2601、CVE-2015-2621、CVE-2015-2632、CVE-2015-2637、CVE-2015-2638、CVE-2015-2664、CVE-2015-4000、CVE-2015-4731、CVE-2015-4732、CVE-2015-4733、CVE-2015-4748、CVE-2015-4749、CVE-2015-4760）

注意：此更新强制 IBM JDK 中的 TLS/SSL 客户端实现拒绝大小在 768 位以下的 DH 密钥，以解决 CVE-2015-4000 问题。有关此更改的更多详细信息，请参阅链接到“参考”部分的 Red Hat Bugzilla 缺陷 1223211。

将不再对 IBM Java SDK 和 JRE 5.0 发送 2015 年 9 月后的软件更新。此日期称为服务停止 (EOS) 日期。建议客户迁移至 IBM Java 此时的当前版本。可通过 Red Hat Enterprise Linux 5、6 的附属内容集获取可用的 IBM Java SDK 与 JRE 版本 6 和 7，并将根据 IBM 的生命周期策略（请链接至“参考”部分）收到持续更新。

客户还可以考虑 OpenJDK，即 Java SE 规范的一个开源实现。默认情况下，OpenJDK 在受支持的硬件架构中可用。

建议所有 java-1.5.0-ibm 用户升级这些更新后的程序包，其中包含 IBM J2SE 5.0 SR16-FP13 版本。必须重新启动所有正在运行的 IBM Java 实例以使此更新生效。

远程 AIX 主机上安装的 Java SDK 版本受到多种漏洞影响：

- Java 安全组件在内存转储中存储明文数据，导致本地攻击者可获取敏感信息的访问权限。(CVE-2015-1931)

- 处理 OIS 数据时类 ObjectInputStream.java 中的 readSerialData() 函数存在缺陷，导致攻击者可执行任意代码。
 (CVE-2015-2590)

- 由于使用非常量时间比较执行各种密码库操作，JCE 组件中存在多种缺陷。远程攻击者可利用此缺陷执行时序攻击以获取敏感信息的访问权限。(CVE-2015-2601)

由于执行 ECDH 密钥派生时缺少 EC 参数验证，文件 ec.c中的 ECDH_Derive() 函数存在一个缺陷。远程攻击者可利用此缺陷访问敏感信息。
 (CVE-2015-2613)

- 2D 组件中存在一个不明漏洞，可允许远程攻击者访问敏感信息。（CVE-2015-2619、CVE-2015-2637）

由于创建存储库类装载器时未正确执行权限检查，类 RMIConnectionImpl.java 中的 RMIConnectionImpl 构造函数存在一个缺陷。攻击者可利用此缺陷绕过沙盒限制并访问敏感信息。
 (CVE-2015-2621)

- 处理 SSL/TLS 协议时，JSSE 组件中存在不明缺陷。远程攻击者可利用此缺陷获取敏感信息的访问权限。
 (CVE-2015-2625)

- C/C++ 的 International Components for Unicode (ICU4C) 中存在整数溢出情况。
 攻击者可利用此缺陷，通过特别构建的字体造成使用此库的应用程序崩溃或访问内存内容。(CVE-2015-2632)

- 2D 组件存在一个不明漏洞，可允许远程攻击者执行任意代码。(CVE-2015-2638)

- Deployment 组件中存在一个不明缺陷，本地攻击者可利用此缺陷获取提升的权限。(CVE-2015-2664)

- 由于 SSL/TLS 协议中的缺陷，存在中间人漏洞，也称为 Logjam。远程攻击者可利用此缺陷，使用临时 Diffie-Hellman 密钥交换将连接降级至 512 位出口级加密。(CVE-2015-4000)

- Deployment 组件中存在一个影响机密性和完整性的不明漏洞。
 (CVE-2015-4729)

- 处理 MBean 连接代理类时，类 MBeanServerInvocationHandler.java 中存在一个缺陷。攻击者可利用此缺陷绕过沙盒限制并执行任意代码。(CVE-2015-4731)

- 在类 ObjectInputStream.java 和 SerialCallbackContext.java 中存在多个与上下文检查不充分相关的缺陷。攻击者可利用这些缺陷执行任意代码。(CVE-2015-4732)

- 由于允许调用 finalize() 方法，类 RemoteObjectInvocationHandler.java 中的 invoke() 方法存在一个缺陷。攻击者可利用此缺陷绕过沙盒保护并执行任意代码。(CVE-2015-4733)

- Deployment 组件中存在一个不明缺陷，本地攻击者可利用此缺陷执行任意代码。
 (CVE-2015-4736)

- 处理不包含“nextUpdate”的在线证书状态协议 (OCSP) 响应时，安全组件中存在一个缺陷。远程攻击者可利用此缺陷使应用程序接受已吊销的 X.509 证书。(CVE-2015-4748)

- 由于 JNDI 组件对发布请求信息的异常处理导致故障，类 DnsClient.java 中的 query() 方法存在一个缺陷。远程攻击者可利用此缺陷造成拒绝服务。(CVE-2015-4749)

- C/C++ 的 International Components for Unicode (ICU4C) 中的布局引擎存在整数溢出情况。攻击者可利用此缺陷，通过特别构建的字体造成使用此库的应用程序崩溃或执行任意代码。(CVE-2015-4760)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
84787	RHEL 6/7：java-1.8.0-openjdk (RHSA-2015:1228)	Nessus	Red Hat Local Security Checks	2015/7/16	2025/4/15	critical
84825	Oracle Java SE 多种漏洞（2015 年 7 月 CPU）(Unix) (Bar Mitzvah)	Nessus	Misc.	2015/7/17	2024/6/20	critical
85212	Scientific Linux 安全更新：SL5.x、SL6.x、SL7.x i386/x86_64 中的 java-1.6.0-openjdk (Bar Mitzvah) (Logjam)	Nessus	Scientific Linux Local Security Checks	2015/8/4	2022/12/5	low
85238	RHEL 5 / 6：java-1.5.0-ibm (RHSA-2015:1544) (Logjam)	Nessus	Red Hat Local Security Checks	2015/8/5	2024/4/27	medium
85447	AIX Java 公告：java_july2015_advisory.asc (Logjam)	Nessus	AIX Local Security Checks	2015/8/17	2023/4/21	critical

检测

插件搜索

critical

critical

low

medium

critical