java-1.8.0-openjdk 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。安全修复：*OpenJDK：不当处理 Kerberos 代理凭据 (Kerberos, 8220302) (CVE-2019-2949) * OpenJDK：在 Nashorn 中进行正则表达式处理期间意外抛出异常 (Scripting, 8223518) (CVE-2019-2975) * OpenJDK：错误处理 Jar URL 处理程序中的嵌套 jar: URL（网络，8223892）(CVE-2019-2978) * OpenJDK：错误处理 HttpURLConnection 中的 HTTP 代理响应（网络，8225298）(CVE-2019-2989) * OpenJDK：自定义 SocketImpl 使用限制缺失（网络，8218573）(CVE-2019-2945) * OpenJDK：DrawGlyphList 中空指针取消引用 (2D, 8222690) (CVE-2019-2962) * OpenJDK：Pattern 处理特别构造的正则表达式时意外抛出异常 (并发, 8222684) (CVE-2019-2964) * OpenJDK：XPathParser 处理特别构造的 XPath 表达式时意外抛出异常 (JAXP, 8223505) (CVE-2019-2973) * OpenJDK：XPath 处理特别构造的 XPath 表达式时意外抛出异常 (JAXP, 8224532) (CVE-2019-2981) *OpenJDK：字体对象反序列化期间意外抛出异常（序列表，8224915）(CVE-2019-2983) * OpenJDK：FreetypeFontScaler 中缺少 glyph 位图图像尺寸检查 (2D, 8225286) (CVE-2019-2987) * OpenJDK：SunGraphics2D 中边界检查整数溢出 (2D, 8225292) (CVE-2019-2988) * OpenJDK：读取 TrueType 字体时，CMap 中内存分配过多 (2D, 8225597) (CVE-2019-2992) * OpenJDK：Javadoc 中 HTML 事件属性过滤不足 (Javadoc, 8226765) (CVE-2019-2999) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Jan Jancar、Petr Svenda 和 Vladimir Sedlacek 发现 OpenJDK 的 ECDSA 实现中存在边信道漏洞。
攻击者可利用此问题泄露敏感信息。
(CVE-2019-2894)

据发现，OpenJDK 的套接字实现中未正确限制带有自定义套接字实现的子类的创建。攻击者可利用此问题特别创建一个可绕过 Java 沙盒限制的 Java 类。
(CVE-2019-2945)

Rob Hamm 发现 OpenJDK 中的 Kerberos 实现未正确处理代理凭据。攻击者可利用此漏洞冒充其他用户。(CVE-2019-2949)

据发现，OpenJDK 的字体处理实现中存在空指针取消引用。攻击者可利用此问题造成拒绝服务（应用程序崩溃）。(CVE-2019-2962)

据发现，OpenJDK 的 Concurrency 子系统中，在编译正则表达式时，未正确限制堆栈消耗。
攻击者可利用此问题造成拒绝服务（应用程序崩溃）。(CVE-2019-2964)

据发现，OpenJDK 的 JAXP 子系统中，某些情况下未正确处理 XPath 表达式。攻击者可利用此问题造成拒绝服务（应用程序崩溃）。（CVE-2019-2973、CVE-2019-2981）

发现 OpenJDK 的 Nashorn JavaScript 子组件在某些情况下未正确处理正则表达式。攻击者可利用此问题造成拒绝服务（应用程序崩溃）。(CVE-2019-2975)

据发现，OpenJDK 的 String 类中含有越界访问漏洞。攻击者可利用此问题造成拒绝服务（应用程序崩溃），或可能泄露敏感信息。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 19.04 和 Ubuntu 19.10 中的 OpenJDK 11。(CVE-2019-2977)

据发现，OpenJDK 的 Jar URL 处理程序中，某些情况下未正确处理嵌套的 Jar URL。攻击者可利用此问题造成拒绝服务（应用程序崩溃）。(CVE-2019-2978)

据发现，OpenJDK 的 Serialization 组件中，未正确处理特定对象属性的反序列化。攻击者可利用此问题造成拒绝服务（应用程序崩溃）。(CVE-2019-2983)

据发现，OpenJDK 的 FreetypeFontScaler 类中，未正确验证从字体文件中读取的 glyph 位图图像尺寸。攻击者可特别构建一个字体文件，从而造成拒绝服务（应用程序崩溃）。(CVE-2019-2987)

OpenJDK 的 SunGraphics2D 类中发现存在缓冲区溢出。攻击者可能会利用此问题造成拒绝服务（内存过多消耗或应用程序崩溃）。
(CVE-2019-2988)

OpenJDK 的 Networking 组件中发现，未正确处理来自 HTTP 代理的特定响应。控制恶意 HTTP 代理的攻击者可能会利用此漏洞向代理的 HTTP 连接注入内容。(CVE-2019-2989)

发现 OpenJDK 的字体处理实现在某些情况下未能正确验证 TrueType 字体文件。攻击者可特别构建一个字体文件，从而造成拒绝服务（内存消耗过多）。(CVE-2019-2992)

据发现，OpenJDK 的 JavaDoc 发生器中，未正确过滤掉某些 HTML 元素，包括 Java 源代码中的文档注释。攻击者可能利用此漏洞构建跨站脚本攻击。(CVE-2019-2999)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Oracle Java SE 的 Java SE 产品中的漏洞（组件：2D）。支持的版本中受影响的是 Java SE: 11.0.4 和 13。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE 部分拒绝服务（部分 DOS）。注意：
    此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，而该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上进行。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。(CVE-2019-2987)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 AOS 版本低于 5.11.2.1。因此，其受到 NXSA-AOS-5.11.2.1 公告中提及的多个漏洞影响。

  - 在低于 1.8.28 的 Sudo 版本中，具有 Runas ALL sudoer 帐户访问权限的攻击者可绕过某些政策黑名单和会话 PAM 模块，通过构建的用户 ID 调用 Sudo，从而导致日志记录不正确。例如，攻击者可利用此漏洞绕过 sudo -u \#$((0xffffffff)) 命令的 !root 配置和 USER= logging。(CVE-2019-14287)

  - 在 imptcp 模块的 rsyslog 中发现一个拒绝服务漏洞。攻击者可向 imptcp 套接字发送特制消息，造成 rsyslog 崩溃。8.27.0 之前的版本均容易受此漏洞影响。(CVE-2018-16881)

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Networking）。
    支持的版本中受影响的是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。
    难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞不适用于仅加载并运行可信代码（如管理员安装的代码）的 Java 部署，此部署通常存在于服务器上。(CVE-2019-2945)

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Kerberos）。支持的版本中受影响的是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。难以利用的漏洞允许未经身份验证的攻击者通过 Kerberos 进行网络访问，从而破坏 Java SE、Java SE Embedded。虽然该漏洞是在 Java SE、Java SE Embedded 中，但攻击也会对附加产品造成巨大影响。成功攻击此漏洞可导致在未经授权的情况下访问重要数据，或完整访问所有可供访问的 Java SE、Java SE Embedded 数据。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。(CVE-2019-2949)

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：2D）。支持的版本中受影响的是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功攻击此漏洞可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。(CVE-2019-2962)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 5.16.1。因此，该主机受到 NXSA-AOS-5.16.1 公告中提及的多个漏洞影响。

  - ESXi 和 Horizon DaaS 设备中使用的 OpenSLP 中存在堆覆写问题。VMware 已将此问题的严重程度提高到“危急”严重程度范围，最高 CVSSv3 基本分数为 9.8。
    (CVE-2019-5544)

  - 在低于 1.8.28 的 Sudo 版本中，具有 Runas ALL sudoer 帐户访问权限的攻击者可绕过某些政策黑名单和会话 PAM 模块，通过构建的用户 ID 调用 Sudo，从而导致日志记录不正确。例如，攻击者可利用此漏洞绕过 sudo -u \#$((0xffffffff)) 命令的 !root 配置和 USER= logging。(CVE-2019-14287)

  - 空或格式错误的 p256-ECDH 公钥可触发分段错误，这是因为程序未正确清理值便将其复制进内存并加以使用。此漏洞会影响 Firefox ESR < 60.8、Firefox < 68 和 Thunderbird < 60.8。(CVE-2019-11729)

  - 使用分组密码进行加密时，如果使用了小于分组大小的数据对 NSC_EncryptUpdate 进行调用，则可能会发生少量越界写入。此漏洞可能会导致堆损坏和潜在可利用的崩溃。此漏洞会影响 Thunderbird < 68.3、Firefox ESR < 68.3 和 Firefox < 71。(CVE-2019-11745)

  - 在 Linux 内核 4.18.7 之前的版本中发现问题。block/blk-core.c 中存在
    __blk_drain_queue() 释放后使用，这是未正确处理某个错误情况所致。(CVE-2018-20856)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
130179	CentOS 6 : java-1.8.0-openjdk (CESA-2019:3136)	Nessus	CentOS Local Security Checks	2019/10/24	2022/5/18	medium
132240	Ubuntu 16.04 LTS / 18.04 LTS：OpenJDK 漏洞 (USN-4223-1)	Nessus	Ubuntu Local Security Checks	2019/12/18	2024/8/27	medium
252155	Linux Distros 未修补的漏洞：CVE-2019-2987	Nessus	Misc.	2025/8/19	2026/7/16	low
164598	Nutanix AOS：多个漏洞 (NXSA-AOS-5.11.2.1)	Nessus	Misc.	2022/9/1	2025/2/17	high
164695	Nutanix AOS：多个漏洞 (NXSA-AOS-5.16.1)	Nessus	Misc.	2022/9/6	2025/7/22	critical

检测

插件搜索

medium

medium

low

high

critical