更新后的 java-1.8.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。

在 OpenJDK 的 AWT 组件的 JPEG 图像格式解码器中发现一个越界写入缺陷。特别构建的 JPEG 图像可造成 Java 应用程序崩溃，或可能执行任意代码。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2016-0483)

在 OpenJDK 的 2D 组件中，字体解析代码存在一个整数符号问题。特别构建的字体文件可能造成 Java 虚拟机执行任意代码，从而允许不受信任的 Java 应用程序或小程序绕过 Java 沙盒限制。(CVE-2016-0494)

已发现 OpenJDK 之 Libraries 组件中基于密码的加密 (PBE) 实现使用不正确的密钥长度。在某些情况下，这可导致生成比预期弱的密钥。(CVE-2016-0475)

已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。
(CVE-2016-0466)

发现 TLS 1.2 于 TLS 握手时使用 MD5 哈希函数对 ServerKeyExchange 和客户端认证数据包进行签名的方式中存在缺陷。如果中间人攻击者能够强制 TLS 连接使用 MD5 哈希函数，则可以利用此缺陷进行冲突攻击，以冒充 TLS 服务器或经过认证的 TLS 客户端。(CVE-2015-7575)

在 OpenJDK 的 Networking 和 JMX 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2016-0402、CVE-2016-0448）

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

建议所有 java-1.8.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

更新后的 java-1.7.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。

在 OpenJDK 的 AWT 组件的 JPEG 图像格式解码器中发现一个越界写入缺陷。特别构建的 JPEG 图像可造成 Java 应用程序崩溃，或可能执行任意代码。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2016-0483)

在 OpenJDK 的 2D 组件中，字体解析代码存在一个整数符号问题。特别构建的字体文件可能造成 Java 虚拟机执行任意代码，从而允许不受信任的 Java 应用程序或小程序绕过 Java 沙盒限制。(CVE-2016-0494)

已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。
(CVE-2016-0466)

发现 TLS 1.2 于 TLS 握手时使用 MD5 哈希函数对 ServerKeyExchange 和客户端认证数据包进行签名的方式中存在缺陷。如果中间人攻击者能够强制 TLS 连接使用 MD5 哈希函数，则可以利用此缺陷进行冲突攻击，以冒充 TLS 服务器或经过认证的 TLS 客户端。(CVE-2015-7575)

在 OpenJDK 的 Libraries、Networking 和 JMX 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2015-4871、CVE-2016-0402、CVE-2016-0448）

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

来自 Red Hat 安全公告 2016:0053：

更新后的 java-1.7.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。

在 OpenJDK 的 AWT 组件的 JPEG 图像格式解码器中发现一个越界写入缺陷。特别构建的 JPEG 图像可造成 Java 应用程序崩溃，或可能执行任意代码。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2016-0483)

在 OpenJDK 的 2D 组件中，字体解析代码存在一个整数符号问题。特别构建的字体文件可能造成 Java 虚拟机执行任意代码，从而允许不受信任的 Java 应用程序或小程序绕过 Java 沙盒限制。(CVE-2016-0494)

已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。
(CVE-2016-0466)

发现 TLS 1.2 于 TLS 握手时使用 MD5 哈希函数对 ServerKeyExchange 和客户端认证数据包进行签名的方式中存在缺陷。如果中间人攻击者能够强制 TLS 连接使用 MD5 哈希函数，则可以利用此缺陷进行冲突攻击，以冒充 TLS 服务器或经过认证的 TLS 客户端。(CVE-2015-7575)

在 OpenJDK 的 Libraries、Networking 和 JMX 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2015-4871、CVE-2016-0402、CVE-2016-0448）

注意：安装由 icedtea-web 程序包提供的 Web 浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在无用户交互的情况下被利用。

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

在 OpenJDK 的 AWT 组件的 JPEG 图像格式解码器中发现一个越界写入缺陷。特别构建的 JPEG 图像可造成 Java 应用程序崩溃，或可能执行任意代码。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2016-0483)

在 OpenJDK 的 2D 组件中，字体解析代码存在一个整数符号问题。特别构建的字体文件可能造成 Java 虚拟机执行任意代码，从而允许不受信任的 Java 应用程序或小程序绕过 Java 沙盒限制。(CVE-2016-0494)

已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。
(CVE-2016-0466)

在 OpenJDK 的 Networking 和 JMX 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2016-0402、CVE-2016-0448）

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

此 java-1_8_0-ibm 更新已更新到 8.0-2.10 版，修复了下列安全问题 (bsc#963937)：

- CVE-2015-5041：在某些情况下可调用非公共接口方法

- CVE-2015-7575：TLS 协议允许 TLS 握手期间以 MD5 哈希函数签署 ServerKeyExchange 消息时，碰撞攻击造成安全性比预期等级低。攻击者可利用此漏洞，使用中间人技术冒充 TLS 服务器并取得凭据。

- CVE-2015-8126：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8472：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2016-0402：与 Networking 组件相关的不明漏洞不会影响机密性和可用性，但会对完整性造成部分影响

- CVE-2016-0448：与 JMX 组件相关的不明漏洞允许远程攻击者取得敏感信息

- CVE-2016-0466：与 JAXP 组件相关的不明漏洞允许远程攻击者造成拒绝服务

- CVE-2016-0475：与 Libraries 组件相关的不明漏洞对机密性和完整性造成部分影响，对可用性没有影响

- CVE-2016-0483：与 AWT 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

- CVE-2016-0494：与 2D 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

修复了以下缺陷：

- bsc#960402：解决 devel 程序包中的程序包冲突

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
88061	CentOS 6：java-1.8.0-openjdk (CESA-2016:0050) (SLOTH)	Nessus	CentOS Local Security Checks	2016/1/22	2021/1/4	medium
88063	CentOS 5 / 7：java-1.7.0-openjdk (CESA-2016:0054) (SLOTH)	Nessus	CentOS Local Security Checks	2016/1/22	2021/1/4	medium
88070	Oracle Linux 6：java-1.7.0-openjdk (ELSA-2016-0053) (SLOTH)	Nessus	Oracle Linux Local Security Checks	2016/1/22	2025/2/18	high
88073	RHEL 5 / 7：java-1.7.0-openjdk (RHSA-2016:0054) (SLOTH)	Nessus	Red Hat Local Security Checks	2016/1/22	2019/10/24	medium
88407	Scientific Linux 安全更新：SL5.x、SL6.x、SL7.x i386/x86_64 中的 java-1.6.0-openjdk	Nessus	Scientific Linux Local Security Checks	2016/1/27	2021/1/14	critical
88692	SUSE SLES12 安全更新：java-1_8_0-ibm (SUSE-SU-2016:0390-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/11	2021/1/6	critical

检测

插件搜索

medium

medium

high

medium

critical

critical