远程 OracleVM 系统缺少必要修补程序来解决关键安全更新：

- 针对 CVE-2014-0224 的补丁 - SSL/TLS MITM 漏洞

- 替换 ca-bundle.crt 中过期的 GlobalSign 根 CA 证书

- 针对 CVE-2013-0169 的补丁 - SSL/TLS CBC 时序攻击 (#907589)

- 针对 CVE-2013-0166 的补丁 - OCSP 签名检查中的 DoS (#908052)

- 仅在明确要求或设置 OPENSSL_DEFAULT_ZLIB 环境变量时启用压缩（修复 CVE-2012-4929 #857051）

- 在所有地方使用 __secure_getenv 代替 getenv (#839735)

- 针对 CVE-2012-2333 的补丁 - 未正确检查 DTLS 中的记录长度 (#820686)

- 针对 CVE-2012-2110 的补丁 - asn1_d2i_read_bio 中的内存损坏 (#814185)

- 使用 SGC 重新启动修补程序修复问题可能会错误地终止握手

- 针对 CVE-2012-0884 的补丁 - CMS 和 PKCS#7 代码中的 MMA 漏洞 (#802725)

- 针对 CVE-2012-1165 的补丁 - 错误的 MIME 标头中的 NULL 读取取消引用 (#802489)

- 针对 CVE-2011-4108 和 CVE-2012-0050 的补丁 - DTLS 明文恢复漏洞和其他 DTLS 补丁 (#771770)

- 针对 CVE-2011-4109 的补丁 - 策略检查中的双重释放 (#771771)

- 针对 CVE-2011-4576 的补丁 - 未初始化 SSL 3.0 填充 (#771775)

- 针对 CVE-2011-4619 的补丁 - SGC 重新启动 DoS 攻击 (#771780)

- 为 SHA2 算法添加已知答案测试 (#740866)

- 将证书 Makefile 中的默认私钥长度设为 2048 位（可通过 PRIVATE_KEY_BITS 设置更改）(#745410)

- 修复 parse_yesno 中错误的返回值 (#726593)

- 已将 DigiCert CA 证书添加到 ca-bundle (#735819)

- 已将有关错误状态的新部分添加到 README.FIPS (#628976)

- 计算 DH 密钥时添加缺少的 DH_check_pub_key 调用 (#698175)

- SSL 中可用的密码的预排序列表 (#688901)

- 接受 s_server 中的连接，即使 getaddrinfo 失败 (#561260)

- 指向受支持摘要的列表的 openssl 摘要 (#608639)

- 修复对未来 TLS 版本的处理 (#599112)

- 已将 VeriSign 类 3 公共主证书颁发机构 - G5 和 StartCom 证书颁发机构证书添加到 ca-bundle（#675671、#617856）

- 针对 CHIL 引擎的上游补丁（#622003、#671484）

- 在 SSL_library_init 中添加 SHA-2 哈希 (#676384)

- 修复 CVE-2010-4180 - 完全禁用 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 的代码 (#659462)

- 修复 CVE-2009-3245 - 添加缺少的 bn_wexpand 返回检查 (#570924)

- 修复 CVE-2010-0433 - 不将空指针传递给 krb5_kt_get_entry（在 RHEL-5 和更新版本中，它会在此情况下崩溃）(#569774)

- 修复 CVE-2009-3555 - 支持安全重新协商扩展，并不允许默认情况下在服务器上进行传统重新协商 (#533125)

- 修复 CVE-2009-2409 - 从 EVP 表中丢弃 MD2 算法 (#510197)

- 修复 CVE-2009-4355 - 在通过应用程序提早调用 CRYPTO_cleanup_all_ex_data 时，不泄漏内存 (#546707)

远程iraclelinux 3 主机上存在安装的程序包该程序包受到 AXSA:2010-154:01 公告中提及的多个漏洞的影响。

    OpenSSL 工具包支持计算机之间的安全通信。OpenSSL 中包含证书管理工具和共享库，用于提供各种加密算法和协议。
    此版本中修复的安全问题
    CVE-2009-3245 0.9.8m 之前的 OpenSSL 未检查 (1) crypto/bn/bn_div.c、(2) crypto/bn/bn_gf2m.c、(3) crypto/ec/ec2_smpl.c 中的 bn_wexpand 函数调用的空返回值、(4) engines/e_ubsec.c存在不明影响和环境相关的攻击向量。
    CVE-2009-3555 TLS 协议以及 SSL 协议 3.0 和可能更早版本中使用的 Microsoft Internet Information Services (IIS) 7.0、Apache HTTP Server 2.2.14 和更早版本中的 mod_ssl0.9.8l 之前的 OpenSSL、GnuTLS 2.8.5 和较早版本的 Mozilla Network Security Services (NSS) 3.12.4 和更早版本、多个 Cisco 产品以及其他产品未正确将重新协商握手与现有连接相关联这允许中间人攻击者将数据插入到 HTTPS 会话中。以及可能其他类型的受 TLS 或 SSL 保护的会话通过发送未经身份验证的请求由服务器在重新协商后上下文中追溯处理这与明文注入攻击即 Project Mogul 问题有关。
    CVE-2010-0433 已启用 Kerberos 但无法打开 Kerberos 配置文件时低于 0.9.8n 的 OpenSSL 的 ssl/kssl.c 中的 kssl_keytab_is_available 函数未检查特定返回值这允许远程攻击者造成拒绝服务空指针取消引用和后台程序崩溃问题这一点已由 chroot 中没有 Kerberos 配置文件的 Dovecot 或 stunnel 的 chroot 安装证实。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 3 主机上存在安装的程序包该程序包受到 AXSA:2010-153:01 公告中提及的多个漏洞的影响。

    GNU TLS 库实现 TLS 和 支持 加密算法。
    此版本修复的安全问题
    CVE-2009-3555 Microsoft Internet Information Services (IIS) 7.0、Apache HTTP Server 2.2.14 和更早版本中的 mod_ssl、0.9.8l 之前的 OpenSSL、GnuTLS 2.8.5 和更早版本、Mozilla Network Security Services (NSS) 3.12.4 和更早版本、多种 Cisco 产品以及其他产品中使用的 TLS 协议和 SSL 协议 3.0（还可能包括更早版本）未正确将重新协商握手与现有连接相关联，这样允许中间人攻击者发送由重新协商后上下文中的服务器以追溯方式处理的经认证的请求，从而将数据插入到 HTTPS 会话中，并且可能插入到由 TLS 或 SSL 保护的其他类型的会话中，此问题与被称为“莫古尔计划”问题的“纯文本注入”攻击有关。
    CVE-2009-2409 低于 的 Network Security Services (NSS) 库 3.12.3在 Firefox 中使用 2.6.4 和 2.7.4之前的 GnuTLS OpenSSL 0.9.8 至 0.9.8k和其他通过 X.509 证书支持 MD2 的产品可能允许远程攻击者通过使用 MD2 设计缺陷来欺骗证书从而在比蛮力攻击时间更短的时间内生成哈希冲突。注意：此问题的范围当前有限，因为所需计算量仍然巨大。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2011:0880 公告中提及的多个漏洞影响。

  - TLS：因会话重新协商造成的中间人攻击 (CVE-2009-3555)

  - krb5：GSS-API 库中的空指针取消引用导致 DoS (MITKRB5-SA-2010-005) (CVE-2010-1321)

  - OpenJDK HttpURLConnection 允许任意请求标头（6961084、6980004）（CVE-2010-3541、CVE-2010-3573）

  - OpenJDK DNS 服务器 IP 地址信息泄露 (6957564) (CVE-2010-3548)

  - OpenJDK HttpURLConnection 请求拆分 (6952017) (CVE-2010-3549)

  - JDK Java Web Start 组件中存在不明漏洞（CVE-2010-3550、CVE-2010-3558）

  - OpenJDK 本地网络地址泄露 (6952603) (CVE-2010-3551)

  - OpenJDK Swing 不安全的反射使用 (6622002) (CVE-2010-3553)

  - JDK Deployment 组件中存在不明漏洞（CVE-2010-3555、CVE-2010-4422、CVE-2010-4447、CVE-2010-4452、CVE-2010-4463、CVE-2010-4466、CVE-2010-4467、CVE-2010-4475）

  - JDK 2D 组件中存在不明漏洞（CVE-2010-3556、CVE-2010-3571）

  - OpenJDK Swing 可变静态 (6938813) (CVE-2010-3557)

  - JDK Networking 组件中存在不明漏洞 (CVE-2010-3560)

  - OpenJDK IndexColorModel 双重释放 (6925710) (CVE-2010-3562)

  - OpenJDK：Deployment 组件中存在不明漏洞 (CVE-2010-3563)

  - OpenJDK JPEG writeImage 远程代码执行 (6963023) (CVE-2010-3565)

  - OpenJDK ICC 配置文件远程代码执行 (6963489) (CVE-2010-3566)

  - OpenJDK 反序列化争用条件 (6559775) (CVE-2010-3568)

  - OpenJDK 序列化不一致 (6966692) (CVE-2010-3569)

  - JDK Sound 组件中存在不明漏洞（CVE-2010-3572、CVE-2010-4454、CVE-2010-4462、CVE-2010-4473）

  - OpenJDK HttpURLConnection 不完整 TRACE 权限检查 (6981426) (CVE-2010-3574)

  - OpenJDK 不受信任的小程序使 DNS 缓存中毒 (6981922) (CVE-2010-4448)

  - OpenJDK 基于 Swing 定时器的安全管理器绕过 (6907662) (CVE-2010-4465)

  - JDK JDBC 组件中存在不明漏洞 (CVE-2010-4468)

  - OpenJDK Java2D 字体相关的系统属性泄漏 (6985453) (CVE-2010-4471)

  - JDK Double.parseDouble 拒绝服务 (CVE-2010-4476)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 TLS/SSL（传输层安全/安全套接字层）协议处理会话重新协商的方式中发现一个缺陷。
中间人攻击者可利用此缺陷将任意纯文本作为前缀添加至客户端的会话（例如与网站的 HTTPS 连接）。这可强制服务器处理攻击者的请求，就像使用受害者的凭据经认证一样。
(CVE-2009-3555)

此更新禁用 Java 安全套接字扩展 (JSSE) 组件中的重新协商。可以使用 sun.security.ssl.allowUnsafeRenegotiation 属性来重新启用不安全的重新协商。

修复了 Java 虚拟机 (JVM) 和各种 Java 类实现中的大量缺陷。这些缺陷可允许未签名的小程序或应用程序绕过预期访问限制。
（CVE-2010-0082、CVE-2010-0084、CVE-2010-0085、CVE-2010-0088、CVE-2010-0094）

如果在不受信任的小程序的画布上执行了拖动操作，则该小程序可以访问剪贴板信息。这可导致信息泄漏。(CVE-2010-0091)

rawIndex 操作错误地处理很大的值，导致内部内存结构损坏，从而造成不受信任的小程序或应用程序崩溃。(CVE-2010-0092)

System.arraycopy 操作错误地处理很大的索引值，从而可能在不受信任的小程序或应用程序中造成阵列损坏。(CVE-2010-0093)

InetAddress 的子类可能错误地解释网络地址，从而允许不受信任的小程序或应用程序绕过网络访问限制。(CVE-2010-0095)

在某些情况下，类型分配可造成“non-exact”接口类型。这可被利用于绕过类型安全限制。(CVE-2010-0845)

（OpenJDK 中嵌入的）LittleCMS 中的一个缓冲区溢出缺陷可导致不受信任的小程序或使用来自不受信任的源的颜色配置文件的应用程序崩溃。(CVE-2010-0838)

在 JRE unpack200 功能中发现一个输入验证缺陷。
不受信任的小程序或应用程序可利用此缺陷来提升其权限。(CVE-2010-0837)

对不受信任的小程序方法的延迟调用可被授予错误的权限，从而允许不受信任的小程序或应用程序提升其权限。(CVE-2010-0840)

JRE 中缺少的输入验证缺陷可允许攻击者导致不受信任的小程序或应用程序崩溃。(CVE-2010-0848)

Java2D 中的一个缺陷可允许攻击者以运行使用 Java2D 的不受信任的小程序或应用程序的用户的权限执行任意代码。(CVE-2010-0847)

注意：此公告中涉及小程序的缺陷 CVE-2010-0082、CVE-2010-0084、CVE-2010-0085、CVE-2010-0088、CVE-2010-0091、CVE-2010-0092、CVE-2010-0093、CVE-2010-0094、CVE-2010-0095、CVE-2010-0837、CVE-2010-0838、CVE-2010-0840、CVE-2010-0847 和 CVE-2010-0848 仅可通过调用“appletviewer”应用程序在 java-1.6.0-openjdk 中触发。

此更新还提供三个深度防御修补程序。（BZ#575745、BZ#575861、BZ#575789）

必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

远程主机上安装的 Oracle（以前称为 Sun） Java Runtime Environment (JRE) 版本低于 6 Update 19 / 5.0 Update 24 / 1.4.2_26。此类版本可能会受到以下组件中安全问题的影响：

- ImageIO - Java 2D - JRE - Java Web Start, Java Plug-in - Pack200 - Sound - JSSE - HotSpot Server

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
79532	OracleVM 3.2：onpenssl (OVMSA-2014-0008)	Nessus	OracleVM Local Security Checks	2014/11/26	2022/12/5	high
284502	MagicLinux 3openssl-0.9.8e-12.AXS3.6 (AXSA:2010-154:01)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	critical
284008	MagicLinux 3 gnutls-1.4.1-3.8.0.1.AXS3 (AXSA:2010-153:01)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	critical
63983	RHEL 5：Red Hat Network Satellite server IBM Java Runtime (RHSA-2011:0880)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/21	critical
60776	Scientific Linux 安全更新：SL5.x (i386/x86_64) 中的 java-1.6.0-openjdk	Nessus	Scientific Linux Local Security Checks	2012/8/1	2022/5/25	high
64842	Oracle Java SE 多种漏洞（2010 年 3 月 CPU）(Unix)	Nessus	Misc.	2013/2/22	2026/9/29	critical

检测

插件搜索

high

critical

critical

critical

high

critical