在 International Components for Unicode (ICU) 库中发现多个漏洞。- CVE-2014-9911 Michele Spagnuolo 发现了一个缓冲区溢出漏洞，其可能允许远程攻击者通过特制文本造成拒绝服务或可能执行任意代码。- CVE-2015-2632 如果攻击者控制了输入文件，整数溢出漏洞可能导致拒绝服务或泄露部分应用程序内存。- CVE-2015-4844 缓冲区溢出漏洞可能允许控制字体文件的攻击者执行拒绝服务，或可能执行任意代码。- CVE-2016-0494 作为 CVE-2015-4844 修复程序的一部分，引入了整数符号问题。- CVE-2016-6293 一个缓冲区溢出可能允许攻击者执行拒绝服务或泄露部分应用程序内存。- CVE-2016-7415 基于堆栈的缓冲区溢出可能允许控制本地字符串的攻击者执行拒绝服务，或可能执行任意代码。

java-1_8_0-openjdk 已更新到版本 7u95，修复了多个安全问题。(bsc#962743)

修复了以下漏洞：

- CVE-2015-7575：进一步减少使用 MD5 (SLOTH) (bsc#960996)

- CVE-2015-8126：AWT 组件中与初始屏幕显示相关的漏洞

- CVE-2015-8472：AWT 组件中的漏洞，已通过相同补丁解决

- CVE-2016-0402：Networking 组件中与 URL 处理相关的漏洞

- CVE-2016-0448：JMX 组件中与属性处理相关的漏洞

- CVE-2016-0466：JAXP 组件中与限制相关的漏洞

- CVE-2016-0483：AWT 组件中与图像解码相关的漏洞

- CVE-2016-0494：2D 组件中与字体操作相关的漏洞

包含来自 2015 年 10 月更新的下列补丁：
(bsc#951376)

- CVE-2015-4734：远程用户可利用嵌入 JGSS 组件中的一个缺陷访问部分数据

- CVE-2015-4803：远程用户可利用 JRockit JAXP 组件中的一个缺陷造成部分拒绝服务情况

- CVE-2015-4805：远程用户可利用嵌入序列化组件中的一个缺陷获取提升的权限

- CVE-2015-4806：远程用户可利用 Java SE 嵌入库组件中的一个缺陷访问和修改部分数据

- CVE-2015-4835：远程用户可利用嵌入 CORBA 组件中的一个缺陷获取提升的权限

- CVE-2015-4842：远程用户可利用嵌入 JAXP 组件中的一个缺陷访问部分数据

- CVE-2015-4843：远程用户可利用 Java SE 嵌入库组件中的一个缺陷获取提升的权限

- CVE-2015-4844：远程用户可利用嵌入 2D 组件中的一个缺陷获取提升的权限

- CVE-2015-4860：远程用户可利用嵌入 RMI 组件中的一个缺陷获取提升的权限

- CVE-2015-4872：远程用户可利用 JRockit Security 组件中的一个缺陷修改部分数据 []。

- CVE-2015-4881：远程用户可利用嵌入 CORBA 组件中的一个缺陷获取提升的权限

- CVE-2015-4882：远程用户可利用嵌入 CORBA 组件中的一个缺陷造成部分拒绝服务情况

- CVE-2015-4883：远程用户可利用嵌入 RMI 组件中的一个缺陷获取提升的权限

- CVE-2015-4893：远程用户可利用 JRockit JAXP 组件中的一个缺陷造成部分拒绝服务情况

- CVE-2015-4902：远程用户可利用 Java SE Deployment 组件中的一个缺陷修改部分数据

- CVE-2015-4903：远程用户可利用嵌入 RMI 组件中的一个缺陷访问部分数据

- CVE-2015-4911：远程用户可利用 JRockit JAXP 组件中的一个缺陷造成部分拒绝服务情况

- CVE-2015-4810：本地用户可利用 Java SE Deployment 组件中的一个缺陷获取提升的权限

- CVE-2015-4840：远程用户可利用嵌入 2D 组件中的一个缺陷访问部分数据

- CVE-2015-4868：远程用户可利用 Java SE 嵌入库组件中的一个缺陷获取提升的权限

- CVE-2015-4901：远程用户可利用 JavaFX 组件中的一个缺陷获取提升的权限

- CVE-2015-4906：远程用户可利用 JavaFX 组件中的一个缺陷访问部分数据

- CVE-2015-4908：远程用户可利用 JavaFX 组件中的一个缺陷访问部分数据

- CVE-2015-4916：远程用户可利用 JavaFX 组件中的一个缺陷访问部分数据

远程主机上安装的 IBM Java 版本为 6.0 < 6.0.16.20/6.1 < 6.1.8.20/7.0 < 7.0.9.30/7.1 < 7.1.3.30/8.0 < 8.0.2.10。因此，其会受到 2016 年 1 月 19 日 Oracle CPU 公告中提及的多个漏洞影响。

  - Mozilla 网络安全服务 (NSS) 3.20.2 之前版本（用于 Mozilla Firefox 43.0.2 之前版本和 Firefox ESR 38.x 至 38.5.2 版本）不会拒绝 TLS 1.2 握手协议流量中服务器密钥交换消息内的 MD5 签名，从而更方便中间人攻击者通过触发冲突来欺骗服务器。(CVE-2015-7575)

  - 在 libpng 1.0.64 之前版、1.1.x 版本、1.2.x 至 1.2.54 版本、1.3.x 版本、1.4.x 至 1.4.17 版本、1.5.x 至 1.5.24 版本以及 1.6.x 至 1.6.19 版本中，(1) png_set_PLTE 和 (2) png_get_PLTE 函数内存在多个缓冲区溢出漏洞，从而允许远程攻击者通过 PNG 图像中 IHDR（又称“图像标头”）区块内的小型位深度值导致拒绝服务（应用程序崩溃），或者可能造成其他不明影响。(CVE-2015-8126)

  - 在 libpng 1.0.65 之前版本、1.1.x 版本、1.2.x 至 1.2.55 版本、1.3.x 版本、1.4.x 至 1.4.18 版本、1.5.x 至 1.5.25 版本、1.6.x 至 1.6.20 版本中，png_set_PLTE 函数内存在缓冲区溢出漏洞，从而允许远程攻击者通过 PNG 图像中 IHDR（又称“图像标头”）区块内的小型位深度值导致拒绝服务（应用程序崩溃），或者可能造成其他不明影响。注意：存在此漏洞的原因是未完整修复 CVE-2015-8126。(CVE-2015-8472)

  - Oracle Java SE 6u105、7u91 与 8u66 及 Java SE Embedded 8u65 的 Java SE 与 Java SE Embedded 组件中存在不明漏洞，从而允许远程攻击者通过与网络连接相关的不明向量破坏完整性。(CVE-2016-0402)

  - Oracle Java SE 6u105、7u91 与 8u66 及 Java SE Embedded 8u65 的 Java SE 与 Java SE Embedded 组件中存在不明漏洞，从而允许经过身份验证的远程用户通过与 JMX 相关的向量破坏机密性。(CVE-2016-0448)

  - Oracle Java SE 6u105、7u91 及 8u66、Java SE Embedded 8u65 以及 JRockit R28.3.8 的 Java SE、Java SE Embedded 和 JRockit 组件中存在不明漏洞，从而允许远程攻击者通过与 JAXP 相关的向量破坏可用性。(CVE-2016-0466)

  - Oracle Java SE 8u66、
    Java SE Embedded 8u65 以及 JRockit R28.3.8 的 Java SE、Java SE Embedded 和 JRockit 组件中存在不明漏洞，从而允许远程攻击者通过与库相关的不明向量来破坏机密性和完整性。(CVE-2016-0475)

  - Oracle Java SE 6u105、7u91 和 8u66、Java SE Embedded 8u65 以及 JRockit R28.3.8 中存在不明漏洞，从而允许远程攻击者通过与 AWT 相关的向量破坏机密性、完整性和可用性。注意：前面的信息获取自 2016 年 1 月 CPU 公告。Oracle 尚未在第三方声明中备注此为 readImage 函数中基于堆的缓冲区溢出漏洞，并且该漏洞允许远程攻击者通过构建的图像数据执行任意代码。(CVE-2016-0483)

  - Oracle Java SE 6u105、7u91 及 8u66 中的 Java SE 和 Java SE Embedded 组件以及 Java SE Embedded 8u65 中存在不明漏洞，从而允许远程攻击者通过与 2D 相关的不明向量破坏机密性、完整性与可用性。(CVE-2016-0494)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2016-042:01 公告中提及的多个漏洞的影响。

    OpenJDK 运行时环境。
    此版本修复的安全问题
    CVE-2015-4871 Oracle Java SE 7u85 中的不明漏洞允许远程攻击者通过与 Libraries 相关的未知矢量影响机密性和完整性。
    CVE-2015-7575 在 3.20.2之前的 Mozilla Firefox 以及 43.0.2 之前的 Firefox ESR 38.x38.5.2] 中使用的 之前的 Mozilla Network Security Services (NSS) 不拒绝 TLS 1.2 握手协议流量中的 Server Key Exchange 消息中的 MD5 签名中间人攻击者更容易通过触发冲突来欺骗服务器。
    CVE-2016-0402
    ** 已预留 ** 该候选编码已被某个组织或个人预留，将在公告新的安全问题时使用。在公布候选编码时，将提供该候选编码的详情。
    CVE-2016-0448
    ** 已预留 ** 该候选编码已被某个组织或个人预留，将在公告新的安全问题时使用。在公布候选编码时，将提供该候选编码的详情。
    CVE-2016-0466
    ** 已预留 ** 该候选编码已被某个组织或个人预留，将在公告新的安全问题时使用。在公布候选编码时，将提供该候选编码的详情。
    CVE-2016-0483
    ** 已预留 ** 该候选编码已被某个组织或个人预留，将在公告新的安全问题时使用。在公布候选编码时，将提供该候选编码的详情。
    CVE-2016-0494
    ** 已预留 ** 该候选编码已被某个组织或个人预留，将在公告新的安全问题时使用。在公布候选编码时，将提供该候选编码的详情。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle（旧称 Sun）Java SE 或 Java for Business 的版本低于 8 Update 71、7 Update 95 或 6 Update 111。因此，它受到以下组件中的安全漏洞影响：

- 2D
 - AWT
 - JAXP
 - JMX
 - Libraries
 - Networking
 - Security

更新后的 java-1.7.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。

在 OpenJDK 的 AWT 组件的 JPEG 图像格式解码器中发现一个越界写入缺陷。特别构建的 JPEG 图像可造成 Java 应用程序崩溃，或可能执行任意代码。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2016-0483)

在 OpenJDK 的 2D 组件中，字体解析代码存在一个整数符号问题。特别构建的字体文件可能造成 Java 虚拟机执行任意代码，从而允许不受信任的 Java 应用程序或小程序绕过 Java 沙盒限制。(CVE-2016-0494)

已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。
(CVE-2016-0466)

发现 TLS 1.2 于 TLS 握手时使用 MD5 哈希函数对 ServerKeyExchange 和客户端认证数据包进行签名的方式中存在缺陷。如果中间人攻击者能够强制 TLS 连接使用 MD5 哈希函数，则可以利用此缺陷进行冲突攻击，以冒充 TLS 服务器或经过认证的 TLS 客户端。(CVE-2015-7575)

在 OpenJDK 的 Libraries、Networking 和 JMX 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2015-4871、CVE-2016-0402、CVE-2016-0448）

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

在 OpenJDK 的 AWT 组件的 JPEG 图像格式解码器中发现一个越界写入缺陷。特别构建的 JPEG 图像可造成 Java 应用程序崩溃，或可能执行任意代码。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2016-0483)

在 OpenJDK 的 2D 组件中，字体解析代码存在一个整数符号问题。特别构建的字体文件可能造成 Java 虚拟机执行任意代码，从而允许不受信任的 Java 应用程序或小程序绕过 Java 沙盒限制。(CVE-2016-0494)

已发现 OpenJDK 之 Libraries 组件中基于密码的加密 (PBE) 实现使用不正确的密钥长度。在某些情况下，这可导致生成比预期弱的密钥。(CVE-2016-0475)

已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。
(CVE-2016-0466)

发现 TLS 1.2 于 TLS 握手时使用 MD5 哈希函数对 ServerKeyExchange 和客户端认证数据包进行签名的方式中存在缺陷。如果中间人攻击者能够强制 TLS 连接使用 MD5 哈希函数，则可以利用此缺陷进行冲突攻击，以冒充 TLS 服务器或经过认证的 TLS 客户端。(CVE-2015-7575)

在 OpenJDK 的 Networking 和 JMX 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2016-0402、CVE-2016-0448）

注意：安装由 icedtea-web 程序包提供的 Web 浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在无用户交互的情况下被利用。

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

更新后的 java-1.6.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.6.0-openjdk 程序包提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Java 软件开发工具包。

在 OpenJDK 的 AWT 组件的 JPEG 图像格式解码器中发现一个越界写入缺陷。特别构建的 JPEG 图像可造成 Java 应用程序崩溃，或可能执行任意代码。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2016-0483)

在 OpenJDK 的 2D 组件中，字体解析代码存在一个整数符号问题。特别构建的字体文件可能造成 Java 虚拟机执行任意代码，从而允许不受信任的 Java 应用程序或小程序绕过 Java 沙盒限制。(CVE-2016-0494)

已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。
(CVE-2016-0466)

在 OpenJDK 的 Networking 和 JMX 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2016-0402、CVE-2016-0448）

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

建议所有 java-1.6.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

java-1_8_0-openjdk 已更新到版本 7u95，修复了多个安全问题。(bsc#962743)

修复了以下漏洞：

- CVE-2015-7575：进一步减少使用 MD5 (SLOTH) (bsc#960996)

- CVE-2015-8126：AWT 组件中与初始屏幕显示相关的漏洞

- CVE-2015-8472：AWT 组件中的漏洞，已通过相同补丁解决

- CVE-2016-0402：Networking 组件中与 URL 处理相关的漏洞

- CVE-2016-0448：JMX 组件中与属性处理相关的漏洞

- CVE-2016-0466：JAXP 组件中与限制相关的漏洞

- CVE-2016-0483：AWT 组件中与图像解码相关的漏洞

- CVE-2016-0494：2D 组件中与字体操作相关的漏洞

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 OpenJDK JRE 中发现多个与信息泄露、数据完整性和可用性相关的漏洞。攻击者可利用这些漏洞造成拒绝服务或在网络中暴露敏感数据，或可能执行任意代码。
（CVE-2016-0483、CVE-2016-0494）

在 OpenJDK JRE 中发现一个与数据完整性相关的漏洞。攻击者可利用此漏洞，通过网络泄露敏感数据，或可能执行任意代码。(CVE-2016-0402)

已发现 OpenJDK 7 错误地允许使用 MD5 进行 TLS 连接。如果远程攻击者能够执行中间人攻击，则可利用此缺陷来泄露敏感信息。(CVE-2015-7575)

在 OpenJDK JRE 中发现一个与信息泄露相关的漏洞。攻击者可利用此漏洞在网络中暴露敏感数据。(CVE-2016-0448)

在 OpenJDK JRE 中发现一个与可用性相关的漏洞。攻击者可利用此漏洞造成拒绝服务。(CVE-2016-0466)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

在 OpenJDK JRE 中发现多个与信息泄露、数据完整性和可用性相关的漏洞。攻击者可利用这些漏洞造成拒绝服务或在网络中暴露敏感数据，或可能执行任意代码。
（CVE-2016-0483、CVE-2016-0494）

在 OpenJDK JRE 中发现一个与数据完整性相关的漏洞。攻击者可利用此漏洞，通过网络泄露敏感数据，或可能执行任意代码。(CVE-2016-0402)

在 OpenJDK JRE 中发现一个与信息泄露相关的漏洞。攻击者可利用此漏洞在网络中暴露敏感数据。(CVE-2016-0448)

在 OpenJDK JRE 中发现一个与可用性相关的漏洞。攻击者可利用此漏洞造成拒绝服务。(CVE-2016-0466)。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 OpenJDK 的 AWT 组件的 JPEG 图像格式解码器中发现一个越界写入缺陷。特别构建的 JPEG 图像可造成 Java 应用程序崩溃，或可能执行任意代码。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2016-0483)

在 OpenJDK 的 2D 组件中，字体解析代码存在一个整数符号问题。特别构建的字体文件可能造成 Java 虚拟机执行任意代码，从而允许不受信任的 Java 应用程序或小程序绕过 Java 沙盒限制。(CVE-2016-0494)

已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。
(CVE-2016-0466)

发现 TLS 1.2 于 TLS 握手时使用 MD5 哈希函数对 ServerKeyExchange 和客户端认证数据包进行签名的方式中存在缺陷。如果中间人攻击者能够强制 TLS 连接使用 MD5 哈希函数，则可以利用此缺陷进行冲突攻击，以冒充 TLS 服务器或经过认证的 TLS 客户端。(CVE-2015-7575)

在 OpenJDK 的 Libraries、Networking 和 JMX 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2015-4871、CVE-2016-0402、CVE-2016-0448）

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

在 OpenJDK 的 AWT 组件的 JPEG 图像格式解码器中发现一个越界写入缺陷。特别构建的 JPEG 图像可造成 Java 应用程序崩溃，或可能执行任意代码。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2016-0483)

发现 TLS 1.2 于 TLS 握手时使用 MD5 哈希函数对 ServerKeyExchange 和客户端认证数据包进行签名的方式中存在缺陷。如果中间人攻击者能够强制 TLS 连接使用 MD5 哈希函数，则可以利用此缺陷进行冲突攻击，以冒充 TLS 服务器或经过认证的 TLS 客户端。(CVE-2015-7575)

在 ICU 布局引擎的 IndicRearrangementProcessor 和 IndicRearrangementProcessor2 中发现整数符号问题。特别构建的字体文件可导致使用 ICU 的应用程序解析不受信任的字体，从而造成崩溃并可能执行任意代码。(CVE-2016-0494)

已发现 OpenJDK 之 Libraries 组件中基于密码的加密 (PBE) 实现使用不正确的密钥长度。在某些情况下，这可导致生成比预期弱的密钥。(CVE-2016-0475)

在 OpenJDK 的 Networking 组件中 URL 类别的反序列化中发现一个缺陷。反序列化特别构建的数据可导致以不一致状态创建 URL 对象。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。(CVE-2016-0402)

已发现 OpenJDK 的 JAXP 组件未正确强制实施 totalEntitySizeLimit 限制。可以使 Java 应用程序处理特别构建的 XML 文件的攻击者，可利用此缺陷来使应用程序消耗过量内存。
(CVE-2016-0466)

已发现 OpenJDK 的 JMX 组件中的 RMIConnector 和 RMIConnectionImpl 类别可能将用户密码等敏感信息记录到其调试日志中，进而可能导致信息泄露。(CVE-2016-0448)

java-1_6_0-ibm 此更新更新到了 6.0-16.20，修复了以下问题 (bsc#963937)

- CVE-2015-5041：在某些情况下可调用非公共接口方法

- CVE-2015-7575：TLS 协议允许 TLS 握手期间以 MD5 哈希函数签署 ServerKeyExchange 消息时，碰撞攻击造成安全性比预期等级低。攻击者可利用此漏洞，使用中间人技术冒充 TLS 服务器并取得凭据。

- CVE-2015-7981：libpng 允许远程攻击者取得敏感信息，这是由于 png_convert_to_rfc1123 函数越界读取所导致。攻击者可利用此漏洞取得敏感信息

- CVE-2015-8126：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8472：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8540：libpng 容易遭受缓冲区溢出影响，这是由于 pngwutil.c 中 png_check_keyword 的读取下溢所导致。远程攻击者可通过超长参数，造成缓冲区溢出并在系统上执行任意代码，或造成应用程序崩溃。

- CVE-2016-0402：与 Networking 组件相关的不明漏洞不会影响机密性和可用性，但会对完整性造成部分影响

- CVE-2016-0448：与 JMX 组件相关的不明漏洞允许远程攻击者取得敏感信息

- CVE-2016-0466：与 JAXP 组件相关的不明漏洞允许远程攻击者造成拒绝服务

- CVE-2016-0483：与 AWT 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

- CVE-2016-0494：与 2D 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

修复了以下缺陷：

- bsc#960402：解决 devel 程序包中的程序包冲突

- bsc#960286：解决字体子程序包中的程序包冲突

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

java-1_7_0-ibm 的此更新更新到了 7.0-9.30，修复了以下问题 (bsc#963937)：

- CVE-2015-5041：在某些情况下可调用非公共接口方法

- CVE-2015-7575：TLS 协议允许 TLS 握手期间以 MD5 哈希函数签署 ServerKeyExchange 消息时，碰撞攻击造成安全性比预期等级低。攻击者可利用此漏洞，使用中间人技术冒充 TLS 服务器并取得凭据。

- CVE-2015-7981：libpng 允许远程攻击者取得敏感信息，这是由于 png_convert_to_rfc1123 函数越界读取所导致。攻击者可利用此漏洞取得敏感信息

- CVE-2015-8126：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8472：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8540：libpng 容易遭受缓冲区溢出影响，这是由于 pngwutil.c 中 png_check_keyword 的读取下溢所导致。远程攻击者可通过超长参数，造成缓冲区溢出并在系统上执行任意代码，或造成应用程序崩溃。

- CVE-2016-0402：与 Networking 组件相关的不明漏洞不会影响机密性和可用性，但会对完整性造成部分影响

- CVE-2016-0448：与 JMX 组件相关的不明漏洞允许远程攻击者取得敏感信息

- CVE-2016-0466：与 JAXP 组件相关的不明漏洞允许远程攻击者造成拒绝服务

- CVE-2016-0483：与 AWT 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

- CVE-2016-0494：与 2D 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

修复了以下缺陷：

- bsc#960402：解决 devel 程序包中的程序包冲突

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
95361	Debian DSA-3725-1：icu - 安全更新	Nessus	Debian Local Security Checks	2016/11/28	2026/1/16	critical
88537	openSUSE 安全更新：java-1_8_0-openjdk (openSUSE-2016-106) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/3	2022/3/8	high
160338	IBM Java 6.0 < 6.0.16.20 / 6.1 < 6.1.8.20 / 7.0 < 7.0.9.30 / 7.1 < 7.1.3.30 / 8.0 < 8.0.2.10 多个漏洞（2016 年 1 月 19 日）	Nessus	Misc.	2022/4/29	2022/10/25	high
289376	iracleLinux 7 java-1.7.0-openjdk-1.7.0.95-2.6.4.0.1.el7 (AXSA:2016-042:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	medium
88045	Oracle Java SE 多种漏洞（2016 年 1 月 CPU）(SLOTH)	Nessus	Windows	2016/1/21	2024/12/19	critical
88063	CentOS 5 / 7：java-1.7.0-openjdk (CESA-2016:0054) (SLOTH)	Nessus	CentOS Local Security Checks	2016/1/22	2021/1/4	medium
88078	Scientific Linux 安全更新：SL7.x x86_64 上的 java-1.8.0-openjdk (SLOTH)	Nessus	Scientific Linux Local Security Checks	2016/1/22	2021/1/14	medium
88386	CentOS 5 / 6 / 7：java-1.6.0-openjdk (CESA-2016:0067)	Nessus	CentOS Local Security Checks	2016/1/27	2021/1/4	critical
88453	SUSE SLED12 / SLES12 安全更新：java-1_8_0-openjdk (SUSE-SU-2016:0256-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/1/28	2021/1/6	high
88516	Ubuntu 14.04 LTS：OpenJDK 7 漏洞 (USN-2884-1)	Nessus	Ubuntu Local Security Checks	2016/2/2	2025/2/18	high
88517	Ubuntu 12.04 LTS：openjdk-6 漏洞 (USN-2885-1)	Nessus	Ubuntu Local Security Checks	2016/2/2	2023/1/17	critical
88655	Amazon Linux AMI：java-1.7.0-openjdk (ALAS-2016-643) (SLOTH)	Nessus	Amazon Linux Local Security Checks	2016/2/10	2018/4/18	medium
88659	Amazon Linux AMI：java-1.8.0-openjdk (ALAS-2016-647) (SLOTH)	Nessus	Amazon Linux Local Security Checks	2016/2/10	2018/4/18	medium
88709	SUSE SLES11 安全更新：java-1_6_0-ibm (SUSE-SU-2016:0431-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/12	2021/1/19	critical
88710	SUSE SLES11 安全更新：java-1_7_0-ibm (SUSE-SU-2016:0433-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/12	2021/1/19	critical

检测

插件搜索

critical

high

high

medium

critical

medium

medium

critical

high

high

critical

medium

medium

critical

critical