来自 Red Hat 安全公告 2020:1512：

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 1512 公告中提及的多个漏洞的影响。

  - OpenJDK：RegExpScanner 中的正则表达式语法错误检查错放（脚本，8223898）(CVE-2020-2754)

  - OpenJDK：正则表达式解析器中的空字符串节点处理错误（脚本，8223904）(CVE-2020-2755)

  - OpenJDK：在反序列化期间，未正确处理对未初始化类扫描符的引用（序列化，8224541）(CVE-2020-2756)

  - OpenJDK：ObjectStreamClass 中存在未捕获的 InstantiationError 异常（序列化，8224549）(CVE-2020-2757)

  - OpenJDK：DOMKeyInfoFactory 和 DOMXMLSignatureFactory 引发意外异常（安全，8231415）(CVE-2020-2773)

  - OpenJDK：重新使用新连接的单个 TLS 会话（JSSE，8234408）(CVE-2020-2781)

  - OpenJDK：在 HttpServer 的 HTTP 标头中注入 CRLF（轻量级 HTTP 服务器，8234825）(CVE-2020-2800)

  - OpenJDK：NIO 缓冲区中的边界检查不正确（库，8234841）(CVE-2020-2803)

  - OpenJDK：MethodType.readObject() 中的类型检查不正确（库，8235274）(CVE-2020-2805)

  - OpenJDK：Scanner 中的正则表达式 DoS（并发，8236201）(CVE-2020-2830)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

在 OpenJDK Java 运行时中发现多个漏洞，导致拒绝服务、不安全的 TLS 握手、绕过沙盒限制或 HTTP 响应拆分攻击。

远程 CentOS Linux 7 主机上安装的程序包受到 RHSA-2020:1507 公告中提及的多个漏洞影响。

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Serialization）。
    支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：8u241。
    难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。
    注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。（CVE-2020-2756、CVE-2020-2757）

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Security）。支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：8u241。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。(CVE-2020-2773)

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：JSSE）。支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：8u241。未经身份验证且可通过 HTTPS 访问网络的攻击者可通过易于利用的漏洞破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。(CVE-2020-2781)

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Lightweight HTTP Server）。支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：
    8u241. 难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除某些 Java SE、Java SE Embedded 可访问数据的访问权限，以及对 Java SE、Java SE Embedded 可访问数据子集进行未经授权的读取访问。注意：此漏洞只能通过向指定组件中的 API 提供数据而遭到利用，不使用不可信的 Java Web Start 应用程序或不可信的 Java 小程序，例如通过 Web 服务。
    (CVE-2020-2800)

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Libraries）。支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：8u241。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Java SE、Java SE Embedded 中，但攻击也可能会严重影响其他产品。成功攻击此漏洞可导致接管 Java SE、Java SE Embedded。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。此漏洞不适用于仅加载并运行可信代码（如管理员安装的代码）的 Java 部署，且通常存在于服务器中。（CVE-2020-2803、CVE-2020-2805）

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Concurrency）。
    支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：8u241。
    可轻松利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。
    注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。(CVE-2020-2830)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Serialization）。受影响的支持版本为 Java SE：7u251、8u241， 11.0.6 和14； Java SE Embedded：8u241。
难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功攻击此漏洞可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。CVSS 3.0 基本分数 3.7（可用性影响）。CVSS 向量：
（CVSS：3.0/AV：N/AC：H/PR：N/UI：N/S：U/C：N/I：N/A：L）。 （（CVE-2020-2756）

Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Serialization）。受影响的支持版本为 Java SE：7u251、8u241， 11.0.6 和14； Java SE Embedded：8u241。
难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功攻击此漏洞可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。CVSS 3.0 基本分数 3.7（可用性影响）。CVSS 向量：
（CVSS：3.0/AV：N/AC：H/PR：N/UI：N/S：U/C：N/I：N/A：L）。 （（CVE-2020-2757）

Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Security）。受影响的支持版本为 Java SE：7u251、8u241， 11.0.6 和14； Java SE Embedded：8u241。
难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功攻击此漏洞可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。CVSS 3.0 基本分数 3.7（可用性影响）。CVSS 向量：
（CVSS：3.0/AV：N/AC：H/PR：N/UI：N/S：U/C：N/I：N/A：L）。 （（CVE-2020-2773）

Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：JSSE）。受影响的支持版本为 Java SE：7u251、8u241， 11.0.6 和14； Java SE Embedded：8u241。未经身份验证且可通过 HTTPS 访问网络的攻击者可通过易于利用的漏洞破坏 Java SE、Java SE Embedded。成功攻击此漏洞可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。CVSS 3.0 基本分数 5.3（可用性影响）。CVSS 向量：（CVSS：3.0/AV：N/AC：L/PR：N/UI：N/S：U/C：N/I：N/A：L）。
CVE-2020-2781）

Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Lightweight HTTP Server）。受影响的支持版本为 Java SE：7u251、8u241， 11.0.6 和14； Java SE Embedded：
8u241。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Java SE、Java SE Embedded 可访问数据的访问权限，以及对 Java SE、Java SE Embedded 可访问数据子集进行未经授权的读取访问。注意：
此漏洞只能通过向指定组件中的 API 提供数据而遭到利用，不使用不可信的 Java Web Start 应用程序或不可信的 Java 小程序，例如通过 Web 服务。
CVSS 3.0 基本分数 4.8（机密性和完整性影响）。CVSS 向量：（CVSS：3.0/AV：N/AC：H/PR：N/UI：N/S：U/C：L/I：L/A：N）。
CVE-2020-2800）

在OpenJDK的Libraries组件的java.nio缓冲区类的边界检查中发现一个缺陷，在某些情况下会绕过该缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2020-2803)

在OpenJDK的Libraries组件的MethodType类的readObject（）方法检查参数类型的方式中发现一个缺陷。
不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2020-2805)

Oracle Java SE 的 Java SE、Java SE Embedded 产品中的漏洞（组件：Concurrency）。受影响的支持版本为 Java SE：7u251、8u241， 11.0.6 和14； Java SE Embedded：8u241。可轻松利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。
成功攻击此漏洞可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。CVSS 3.0 基本分数 5.3（可用性影响）。CVSS 向量：（CVSS：3.0/AV：N/AC：L/PR：N/UI：N/S：U/C：N/I：N/A：L）。
CVE-2020-2830）

远程iraclelinux 4 主机上存在安装的程序包该程序包受到 AXSA:2020-022:09 公告中提及的多个漏洞的影响。

    * OpenJDKNIO 缓冲区中的边界检查不正确 (Libraries8234841) (CVE-2020-2803)
      * OpenJDKMethodType.readObject() 中的类型检查不正确 (Libraries8235274) (CVE-2020-2805)
      * OpenJDKDOMKeyInfoFactory 和 DOMXMLSignatureFactory 引发的意外异常 (Security8231415) (CVE-2020-2773)
      * OpenJDK在新连接中重复使用单个 TLS 会话JSSE8234408 (CVE-2020-2781)
      * OpenJDKCRLF 注入 HttpServer 的 HTTP 标头 (Lightweight HTTP Server8234825) (CVE-2020-2800)
      * OpenJDK扫描程序中的正则表达式 DoS(并发8236201) (CVE-2020-2830)
      * OpenJDK在 RegExpScanner 中错位的正则表达式语法错误检查 (Scripting8223898) (CVE-2020-2754)
      * OpenJDK未正确处理正则表达式解析器中的空字符串节点 (Scripting8223904) (CVE-2020-2755)
      * OpenJDK反序列化期间未正确处理未初始化的类描述符引用 (Serialization8224541) (CVE-2020-2756)
      * OpenJDKObjectStreamClass 中存在未捕获的 InstantiationError 异常Serialization8224549 (CVE-2020-2757)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2020-012:08 公告中提及的多个漏洞的影响。

    * OpenJDKNIO 缓冲区中的边界检查不正确 (Libraries8234841) (CVE-2020-2803)
      * OpenJDKMethodType.readObject() 中的类型检查不正确 (Libraries8235274) (CVE-2020-2805)
      * OpenJDKDOMKeyInfoFactory 和 DOMXMLSignatureFactory 引发的意外异常 (Security8231415) (CVE-2020-2773)
      * OpenJDK在新连接中重复使用单个 TLS 会话JSSE8234408 (CVE-2020-2781)
      * OpenJDKCRLF 注入 HttpServer 的 HTTP 标头 (Lightweight HTTP Server8234825) (CVE-2020-2800)
      * OpenJDK扫描程序中的正则表达式 DoS(并发8236201) (CVE-2020-2830)
      * OpenJDK在 RegExpScanner 中错位的正则表达式语法错误检查 (Scripting8223898) (CVE-2020-2754)
      * OpenJDK未正确处理正则表达式解析器中的空字符串节点 (Scripting8223904) (CVE-2020-2755)
      * OpenJDK反序列化期间未正确处理未初始化的类描述符引用 (Serialization8224541) (CVE-2020-2756)
      * OpenJDKObjectStreamClass 中存在未捕获的 InstantiationError 异常Serialization8224549 (CVE-2020-2757)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 8 主机上存在安装的程序包该程序包受到 AXSA:2020-161:10 公告中提及的多个漏洞的影响。

    * OpenJDKNIO 缓冲区中的边界检查不正确 (Libraries8234841) (CVE-2020-2803)
      * OpenJDKMethodType.readObject() 中的类型检查不正确 (Libraries8235274) (CVE-2020-2805)
      * OpenJDKDOMKeyInfoFactory 和 DOMXMLSignatureFactory 引发的意外异常 (Security8231415) (CVE-2020-2773)
      * OpenJDK在新连接中重复使用单个 TLS 会话JSSE8234408 (CVE-2020-2781)
      * OpenJDKCRLF 注入 HttpServer 的 HTTP 标头 (Lightweight HTTP Server8234825) (CVE-2020-2800)
      * OpenJDK扫描程序中的正则表达式 DoS(并发8236201) (CVE-2020-2830)
      * OpenJDK在 RegExpScanner 中错位的正则表达式语法错误检查 (Scripting8223898) (CVE-2020-2754)
      * OpenJDK未正确处理正则表达式解析器中的空字符串节点 (Scripting8223904) (CVE-2020-2755)
      * OpenJDK反序列化期间未正确处理未初始化的类描述符引用 (Serialization8224541) (CVE-2020-2756)
      * OpenJDKObjectStreamClass 中存在未捕获的 InstantiationError 异常Serialization8224549 (CVE-2020-2757)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 java-1.8.0-openjdk 版本低于 1.8.0.252.b09-2.51。因此，它受到 ALAS-2023-1809 公告中提及的多个漏洞影响。

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中存在漏洞（组件：Scripting）。支持的版本中受影响的是 Java SE：8u241、11.0.6 和 14；Java SE Embedded：8u241. 难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。（CVE-2020-2754、CVE-2020-2755）

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中存在漏洞（组件：Serialization）。
    支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：8u241.
    难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。
    注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。（CVE-2020-2756、CVE-2020-2757）

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中存在漏洞（组件：Security）。支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：8u241. 难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。(CVE-2020-2773)

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中存在漏洞（组件：JSSE）。支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：8u241. 未经身份验证且可通过 HTTPS 访问网络的攻击者可通过易于利用的漏洞破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。(CVE-2020-2781)

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中存在漏洞（组件：Lightweight HTTP Server）。支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：
    8u241. 难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除某些 Java SE、Java SE Embedded 可访问数据的访问权限，以及对 Java SE、Java SE Embedded 可访问数据子集进行未经授权的读取访问。注意：此漏洞只能通过向指定组件中的 API 提供数据而遭到利用，不使用不可信的 Java Web Start 应用程序或不可信的 Java 小程序，例如通过 Web 服务。
    (CVE-2020-2800)

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中存在漏洞（组件：Libraries）。支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：8u241. 难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Java SE、Java SE Embedded 中，但攻击也可能会严重影响其他产品。成功利用此漏洞进行攻击可导致接管 Java SE、Java SE Embedded。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。此漏洞不适用于仅加载并运行可信代码（如管理员安装的代码）的 Java 部署，且通常存在于服务器中。（CVE-2020-2803、CVE-2020-2805）

  - Oracle Java SE 的 Java SE、Java SE Embedded 产品中存在漏洞（组件：Concurrency）。
    支持的版本中受影响的是 Java SE：7u251、8u241、11.0.6 和 14；Java SE Embedded：8u241.
    可轻松利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。
    注意：适用于 Java 客户端和服务器部署。此漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它也可通过向指定组件中的 API 提供数据而遭到利用，不使用需要在沙盒中运行的 Java Web Start 应用程序或需要在沙盒中运行的 Java 小程序，例如通过 Web 服务。(CVE-2020-2830)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 0717 公告中提及的多个漏洞的影响。

  - OpenJDK：通过未加密的 LDAP 连接发送凭据（JNDI，8237990）(CVE-2020-14781)

  - OpenJDK：通过备用证书编码绕过证书黑名单（库，8237995）(CVE-2020-14782)

  - OpenJDK：NIO 缓冲区中边界检查中存在争用条件（库，8244136）(CVE-2020-14803)

  - IBM JDK：从 UTF-8 字符转换为平台编码时，存在基于堆栈的缓冲区溢出 (CVE-2020-27221)

  - OpenJDK：DOMKeyInfoFactory 和 DOMXMLSignatureFactory 引发意外异常（安全，8231415）(CVE-2020-2773)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 5.18。因此，该主机受到 NXSA-AOS-5.18 公告中提及的多个漏洞影响。

  - 当使用 Apache JServ Protocol (AJP) 时，当信任 Apache Tomcat 的传入连接时必须谨慎。Tomcat 将 AJP 连接视为比类似的 HTTP 连接（例如）具有更高的信任度。如果攻击者可使用此类连接，则他们会以惊人的方式利用此类连接。在 Apache Tomcat 9.0.0.M1 至 9.0.0.30、8.5.0 至 8.5.50 以及 7.0.0 至 7.0.99 中，Tomcat 附带有默认已启用的 AJP 连接器，该连接器侦听所有配置的 IP 地址。预期（安全指南中建议）此连接器将在不需要的时候禁用。此漏洞报告确定了允许以下内容的一种机制：- 从 web 应用程序中任意位置返回任意文件 - 作为 JSP 处理 web 应用程序中的任意文件。并且，如果 web 应用程序允许文件上传并在 web 应用程序中存储这些文件（或攻击者能够通过某些其他方式控制 web 应用程序的内容），则结合作为 JSP 处理文件的能力，共同使远程代码执行成为可能。需要注意的是，仅当 AJP 端口可供不受信任的用户访问时才需要缓解。希望采取深度防御方式并阻止允许返回任意文件并作为 JSP 执行之向量的用户可能会升级至 Apache Tomcat 9.0.31、8.5.51 或 7.0.100 或更高版本。9.0.31 中的默认 AJP 连接器配置做出许多更改，以强化默认配置。升级至 9.0.31、8.5.51 或 7.0.100 或更高版本的用户好像需要对其配置做出细微更改。
    (CVE-2020-1938)

  - Linux 内核 5.3.6 及其之前版本的 drivers/net/wireless/realtek/rtlwifi/ps.c 中的 rtl_p2p_noa_ie 缺少特定上界检查，导致缓冲区溢出。(CVE-2019-17666)

  - Linux 内核 5.1-rc5 之前版本允许 page->_refcount 引用计数溢出，如果存在约 140 GiB 的 RAM，则会产生释放后使用问题。这与 fs/fuse/dev.c、fs/pipe.c, fs/splice.c、include/linux/mm.h、include/linux/pipe_fs_i.h、kernel/trace/trace.c、mm/gup.c 和 mm/hugetlb.c 有关。FUSE 请求会发生此问题。(CVE-2019-11487)

  - Linux 上游内核 5.5 之前版本中，CVE-2019-11135 的修复过程中发现缺陷，Intel CPU 在处理推测性指令执行时会发生 TSX 异步中止 (TAA) 错误。在受 TAA 缺陷 (TAA_NO=0) 影响，但不受 MDS 问题 (MDS_NO=1) 影响的主机 CPU 上运行客户机时，该客户机将使用 VERW 指令机制清除受影响的缓冲区。但是，当 MDS_NO=1 位导出至客户机时，客户机未使用 VERW 机制清除受影响的缓冲区。此问题影响在 Cascade Lake CPU 上运行的客户机，且要求主机启用“TSX”。数据机密性是与此漏洞相关的最高威胁。
    (CVE-2019-19338)

  - 在 libxml2 2.9.1 中，xzlib.c 的 xz_decomp 函数未正确检测压缩错误，上下文相关攻击者可以借此通过构建的 XML 数据造成拒绝服务（进程挂起）。
    (CVE-2015-8035)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
135953	Oracle Linux 7：java-1.8.0-openjdk (ELSA-2020-1512)	Nessus	Oracle Linux Local Security Checks	2020/4/24	2024/11/1	high
136125	Debian DSA-4668-1：openjdk-8 - 安全更新	Nessus	Debian Local Security Checks	2020/4/30	2024/3/14	high
136195	CentOS 7：java-1.7.0-openjdk (RHSA-2020:1507)	Nessus	CentOS Local Security Checks	2020/5/1	2024/10/9	high
136529	Amazon Linux 2：java-1.7.0-openjdk (ALAS-2020-1424)	Nessus	Amazon Linux Local Security Checks	2020/5/13	2024/12/11	high
293899	iracleLinux 4 java-1.8.0-openjdk-1.8.0.252.b09-2.AXS4 (AXSA:2020-022:09)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	high
294143	iracleLinux 7 java-1.8.0-openjdk-1.8.0.252.b09-2.el7 (AXSA:2020-012:08)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	high
294405	iracleLinux 8 java-1.8.0-openjdk-1.8.0.252.b09-2.el8 (AXSA:2020-161:10)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	high
180094	Amazon Linux AMI：java-1.8.0-openjdk (ALAS-2023-1809)	Nessus	Amazon Linux Local Security Checks	2023/8/23	2024/12/11	high
147140	RHEL 7：java-1.8.0-ibm (RHSA-2021: 0717)	Nessus	Red Hat Local Security Checks	2021/3/5	2024/11/7	critical
164595	Nutanix AOS：多个漏洞 (NXSA-AOS-5.18)	Nessus	Misc.	2022/9/1	2025/9/1	critical

检测

插件搜索

high

high

high

high

high

high

high

high

critical

critical