已在 OpenJDK（Oracle Java 平台的实现）中发现多个漏洞，其导致 Java 沙盒中断、信息泄露、拒绝服务和不安全的加密。

CVE-2015-7575 发现 TLS 1.2 于 TLS 握手时使用 MD5 哈希函数对 ServerKeyExchange 和客户端认证数据包进行签名的方式中存在缺陷。

CVE-2015-8126 在低于 1.0.64 的 libpng，低于 1.2.54 的 libpng 1.1.x 和 1.2.x，低于 1.4.17 的 libpng 1.3.x 和 1.4.x，低于 1.5.24 的 libpng 1.5.x，以及低于 1.6.19 的 libpng 1.6.x 中，(1) png_set_PLTE 和 (2) png_get_PLTE 函数中存在多种缓冲区溢出，允许远程攻击者通过 PNG 图像中的 IHDR（又称图像标头）区块中的小位深度值造成拒绝服务（应用程序崩溃），或者可能造成其他不明影响。

CVE-2015-8472 在低于 1.0.65 的 libpng、libpng 1.1.x 和低于 1.2.55 的 libpng 1.2.x、libpng 1.3.x 和低于 1.4.18 的 libpng 1.4.x、低于 1.5.25 的 libpng 1.5.x 和低于 1.6.20 的 libpng 1.6.x 中，png_set_PLTE 函数中存在缓冲区溢出，允许远程攻击者通过 PNG 图像中 IHDR（也称为图像标头）区块中的小位深度值造成拒绝服务（应用程序崩溃）或可能造成其他不明影响。注意：存在此漏洞的原因是对 CVE-2015-8126 的修复不完整。

CVE-2016-0402 Oracle Java SE 6u105、7u91 与 8u66 及 Java SE Embedded 8u65 中 Java SE 与 Java SE Embedded 组件中的不明漏洞允许远程攻击者通过与 Networking 相关的不明矢量图像完整性。

CVE-2016-0448 Oracle Java SE 6u105、7u91 与 8u66 及 Java SE Embedded 8u65 中 Java SE 与 Java SE Embedded 组件中的不明漏洞允许经认证的远程用户通过与 JMX 相关的矢量影响机密性。

CVE-2016-0466 已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。

CVE-2016-0483 Oracle Java SE 6u105、7u91 与 8u66 中的 Java SE、Java SE Embedded 与 JRockit 组件；Java SE Embedded 8u65 与 JRockit R28.3.8 中的不明漏洞允许远程攻击者通过与 AWT 相关的矢量影响机密性、完整性与可用性。

CVE-2016-0494 Oracle Java SE 6u105、7u91 与 8u66 及 Java SE Embedded 8u65 中的 Java SE 与 Java SE Embedded 组件中的不明漏洞允许远程攻击者通过与 2D 相关的不明矢量影响机密性、完整性与可用性。

对于 Debian 6“Squeeze”，已在版本 6b38-1.13.10-1~deb6u1 中修复这些问题。

我们建议您升级 openjdk-6 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

java-1_7_0-ibm 的此更新更新到了 7.0-9.30，修复了以下问题 (bsc#963937)：

- CVE-2015-5041：在某些情况下可调用非公共接口方法

- CVE-2015-7575：TLS 协议允许 TLS 握手期间以 MD5 哈希函数签署 ServerKeyExchange 消息时，碰撞攻击造成安全性比预期等级低。攻击者可利用此漏洞，使用中间人技术冒充 TLS 服务器并取得凭据。

- CVE-2015-7981：libpng 允许远程攻击者取得敏感信息，这是由于 png_convert_to_rfc1123 函数越界读取所导致。攻击者可利用此漏洞取得敏感信息

- CVE-2015-8126：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8472：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8540：libpng 容易遭受缓冲区溢出影响，这是由于 pngwutil.c 中 png_check_keyword 的读取下溢所导致。远程攻击者可通过超长参数，造成缓冲区溢出并在系统上执行任意代码，或造成应用程序崩溃。

- CVE-2016-0402：与 Networking 组件相关的不明漏洞不会影响机密性和可用性，但会对完整性造成部分影响

- CVE-2016-0448：与 JMX 组件相关的不明漏洞允许远程攻击者取得敏感信息

- CVE-2016-0466：与 JAXP 组件相关的不明漏洞允许远程攻击者造成拒绝服务

- CVE-2016-0483：与 AWT 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

- CVE-2016-0494：与 2D 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

修复了以下缺陷：

- bsc#960402：解决 devel 程序包中的程序包冲突

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

IBM Java 已更新到版本 6.0-16.20，修复了多种安全问题。

有关更多信息，请访问 <a href='http://www.ibm.com/developerworks/java/jdk/alerts/'>http://www.ibm.com/developerworks/java/jdk/alerts/</a>。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
88580	Debian DLA-410-1：openjdk-6 安全更新 (SLOTH)	Nessus	Debian Local Security Checks	2016/2/5	2021/1/11	high
88710	SUSE SLES11 安全更新：java-1_7_0-ibm (SUSE-SU-2016:0433-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/12	2021/1/19	critical
89657	SUSE SLES11 安全更新：java-1_7_0-ibm (SUSE-SU-2016:0636-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/3/4	2021/1/19	critical
89989	SUSE SLES10 安全更新：java-1_6_0-ibm (SUSE-SU-2016:0776-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/3/17	2021/1/6	critical

检测

插件搜索

high

critical

critical

critical