远程主机受到 GLSA-201401-30 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

据报告，在 Oracle Java 实现中存在多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

未经认证的远程攻击者可利用这些漏洞执行任意代码。
 此外，本地或远程攻击者可利用这些漏洞造成不明影响，可能包括远程执行任意代码。
 变通方案：

目前无任何已知的变通方案。

远程主机受到 GLSA-201406-32 中所述漏洞的影响（IcedTea JDK：多种漏洞）

已在 IcedTea JDK 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可能以进程的权限执行任意代码，造成拒绝服务情况，获得敏感信息，绕过预期的安全策略，或造成其他不明影响。
 变通方案：

目前无任何已知的变通方案。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - OpenSSL、OpenJDK、PolarSSL 和其他产品中使用的 TLS 协议 1.1 和 1.2 以及 DTLS 协议 1.0 和 1.2 在处理畸形 CBC 填充期间不会正确考虑针对 MAC 检查要求的时序边信道攻击，这允许远程攻击者通过构建的数据包的时序数据统计分析执行区分攻击和明文恢复攻击，此问题也称为 Lucky Thirteen 问题。(CVE-2013-0169)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

更新后的 rhevm-spice-client 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Virtualization Manager 3。

Red Hat 安全响应团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 提供对使用 SPICE 的虚拟机的访问权限。这些 SPICE 客户端程序包为 Windows 32 位操作系统和 Windows 64 位操作系统提供 SPICE 客户端和 usbclerk 服务。

rhevm-spice-client 程序包中包含 mingw-virt-viewer Windows SPICE 客户端。OpenSSL（一个包含 TLS 实现的通用密码库）捆绑于 mingw-virt-viewer。mingw-virt-viewer 程序包已更新，修正了以下问题：

在 OpenSSL 处理 TLS 和 DTLS Heartbeat Extension 数据包的方式中发现信息泄露缺陷。恶意 TLS 或 DTLS 客户端或服务器可发送特别构建的 TLS 或 DTLS 心跳信息数据包，使每个请求从连接的客户端或服务器泄露有限部分的内存。请注意，泄露的内存部分可能包含敏感信息，例如私钥。
(CVE-2014-0160)

已发现使用 CBC 模式加密套件时，OpenSSL 在解密 TLS/SSL 和 DTLS 协议加密的记录时泄漏了定时信息。远程攻击者可能利用此缺陷，通过将 TLS/SSL 或 DTLS 服务器用作 padding oracle，从加密的数据包检索纯文本。(CVE-2013-0169)

在 OpenSSL 处理 TLS/SSL 协议握手数据包的方式中发现空指针取消引用缺陷。特别构建的握手数据包可导致使用 OpenSSL 的 TLS/SSL 客户端崩溃。
(CVE-2013-4353)

已发现使用可选压缩时，TLS/SSL 协议可泄漏明文的相关信息。若攻击者能够控制通过加密的 TLS/SSL 连接发送的部分明文，就有可能利用此缺陷恢复明文的其他部分。(CVE-2012-4929)

Red Hat 在此感谢 OpenSSL 项目报告 CVE-2014-0160。上游感谢原始报告者：Google Security 的 Neel Mehta。

更新后的 mingw-virt-viewer Windows SPICE 客户端还包含对 mingw-virt-viewer 本身没有安全影响的 OpenSSL 安全补丁。可使用此更新中包含的安全补丁处理以下 CVE 编号：

CVE-2013-6449、CVE-2013-6450、CVE-2012-2686 和 CVE-2013-0166

建议所有 Red Hat Enterprise Virtualization Manager 用户升级这些更新后的程序包，其中解决了这些问题。

更新后的 java-1.6.0-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Network Satellite Server 5.4。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

此更新修正 Red Hat Network Satellite Server 5.4 随附的 IBM Java Runtime Environment 中的多个安全漏洞。在典型的操作环境中，这些问题的安全风险较低，因为不受信任的小程序上不会使用运行时。

修复了 IBM Java 2 Runtime Environment 中的多个缺陷。
（CVE-2011-0802、CVE-2011-0814、CVE-2011-0862、CVE-2011-0863、CVE-2011-0865、CVE-2011-0867、CVE-2011-0868、CVE-2011-0869、CVE-2011-0871、CVE-2011-0873、CVE-2011-3389、CVE-2011-3516、CVE-2011-3521、CVE-2011-3544、CVE-2011-3545、CVE-2011-3546、CVE-2011-3547、CVE-2011-3548、CVE-2011-3549、CVE-2011-3550、CVE-2011-3551、CVE-2011-3552、CVE-2011-3553、CVE-2011-3554、CVE-2011-3556、CVE-2011-3557、CVE-2011-3560、CVE-2011-3561、CVE-2011-3563、CVE-2011-5035、CVE-2012-0497、CVE-2012-0498、CVE-2012-0499、CVE-2012-0500、CVE-2012-0501、CVE-2012-0502、CVE-2012-0503、CVE-2012-0505、CVE-2012-0506、CVE-2012-0507、CVE-2012-0547、CVE-2012-0551、CVE-2012-1531、CVE-2012-1532、CVE-2012-1533、CVE-2012-1541、CVE-2012-1682、CVE-2012-1713、CVE-2012-1716、CVE-2012-1717、CVE-2012-1718、CVE-2012-1719、CVE-2012-1721、CVE-2012-1722、CVE-2012-1725、CVE-2012-3143、CVE-2012-3159、CVE-2012-3213、CVE-2012-3216、CVE-2012-3342、CVE-2012-4820、CVE-2012-4822、CVE-2012-4823、CVE-2012-5068、CVE-2012-5069、CVE-2012-5071、CVE-2012-5072、CVE-2012-5073、CVE-2012-5075、CVE-2012-5079、CVE-2012-5081、CVE-2012-5083、CVE-2012-5084、CVE-2012-5089、CVE-2013-0169、CVE-2013-0351、CVE-2013-0401、CVE-2013-0409、CVE-2013-0419、CVE-2013-0423、CVE-2013-0424、CVE-2013-0425、CVE-2013-0426、CVE-2013-0427、CVE-2013-0428、CVE-2013-0432、CVE-2013-0433、CVE-2013-0434、CVE-2013-0435、CVE-2013-0438、CVE-2013-0440、CVE-2013-0441、CVE-2013-0442、CVE-2013-0443、CVE-2013-0445、CVE-2013-0446、CVE-2013-0450、CVE-2013-0809、CVE-2013-1473、CVE-2013-1476、CVE-2013-1478、CVE-2013-1480、CVE-2013-1481、CVE-2013-1486、CVE-2013-1487、CVE-2013-1491、CVE-2013-1493、CVE-2013-1500、CVE-2013-1537、CVE-2013-1540、CVE-2013-1557、CVE-2013-1563、CVE-2013-1569、CVE-2013-1571、CVE-2013-2383、CVE-2013-2384、CVE-2013-2394、CVE-2013-2407、CVE-2013-2412、CVE-2013-2417、CVE-2013-2418、CVE-2013-2419、CVE-2013-2420、CVE-2013-2422、CVE-2013-2424、CVE-2013-2429、CVE-2013-2430、CVE-2013-2432、CVE-2013-2433、CVE-2013-2435、CVE-2013-2437、CVE-2013-2440、CVE-2013-2442、CVE-2013-2443、CVE-2013-2444、CVE-2013-2446、CVE-2013-2447、CVE-2013-2448、CVE-2013-2450、CVE-2013-2451、CVE-2013-2452、CVE-2013-2453、CVE-2013-2454、CVE-2013-2455、CVE-2013-2456、CVE-2013-2457、CVE-2013-2459、CVE-2013-2463、CVE-2013-2464、CVE-2013-2465、CVE-2013-2466、CVE-2013-2468、CVE-2013-2469、CVE-2013-2470、CVE-2013-2471、CVE-2013-2472、CVE-2013-2473、CVE-2013-3743）

建议 Red Hat Network Satellite Server 5.4 的用户升级这些更新后的程序包，其中包含 IBM Java SE 6 SR14 版本。为使此更新生效，必须重新启动 Red Hat Network Satellite Server(“/usr/sbin/rhn-satellite restart”) 以及所有正在运行的 IBM Java 实例。

此 libopenssl0_9_8 更新修复了以下问题：

- CVE-2016-0800 即“DROWN'”攻击 (bsc#968046)：
OpenSSL 容易遭受跨协议攻击，使用支持 SSLv2 和 EXPORT 加密套件的服务器作为 Bleichenbacher RSA padding oracle 时，可导致 TLS 会话解密。

此更新会将 openssl 库更改为：

- 默认禁用 SSLv2 协议支持。

这可通过设置环境变量“OPENSSL_ALLOW_SSL2”或利用使用 SSL_OP_NO_SSLv2 标记的 SSL_CTX_clear_options 来替代。

请注意，先前多个服务与客户端已默认禁用 SSL 协议 2。

- 默认禁用所有弱 EXPORT 密码。如果使用环境变量“OPENSSL_ALLOW_EXPORT”的旧软件需要的话，这些设置可以重新启用。

- CVE-2016-0797 (bnc#968048)：BN_hex2bn() 与 BN_dec2bn() 函数中存在一个缺陷，可导致尝试取消引用空指针，进而造成崩溃。如果具有大的不受信任十六进制/十进制数据的用户应用程序曾经调用这些函数，这可能会生成安全后果。此外，在 OpenSSL 内部使用这些函数也会使用配置文件或应用程序命令行参数中的数据。如果用户开发的应用程序根据不受信任的数据生成配置文件数据，则这也会生成安全后果。

- CVE-2016-0799 (bnc#968374) 在许多 64 位系统中，内部 fmtstr() 和 doapr_outch() 函数可能会错误计算字符串的长度，并尝试访问越界内存位置。这些问题会使攻击者能够发动攻击，将大量不受信任的数据传送至 BIO_*printf 函数。
 如果应用程序以此方式使用这些函数，则可能容易受影响。OpenSSL 本身会使用这些函数打印人类可读的 ASN.1 数据转储。因此，如果数据来自不受信任的来源，打印此数据的应用程序可能容易受影响。当 OpenSSL 命令行应用程序打印 ASN.1 数据，或者将不受信任的数据作为命令行参数传递时，也可能容易受影响。Libssl 被视为不易受到直接影响。

- 程序包更新到 0.9.8zh：

- 修复大量安全漏洞（未分别列出）：CVE-2015-3195、CVE-2015-1788、CVE-2015-1789、CVE-2015-1790、CVE-2015-1792、CVE-2015-1791、CVE-2015-0286、CVE-2015-0287、CVE-2015-0289、CVE-2015-0293、CVE-2015-0209、CVE-2015-0288、CVE-2014-3571、CVE-2014-3569、CVE-2014-3572、CVE-2015-0204、CVE-2014-8275、CVE-2014-3570、CVE-2014-3567、CVE-2014-3568、CVE-2014-3566、CVE-2014-3510、CVE-2014-3507、CVE-2014-3506、CVE-2014-3505、CVE-2014-3508、CVE-2014-0224、CVE-2014-0221、CVE-2014-0195、CVE-2014-3470、CVE-2014-0076、CVE-2013-0169、CVE-2013-0166

- 避免运行 OPENSSL_config 两次。这可避免中断引擎加载。（boo#952871、boo#967787）

- 修复 CVE-2015-3197 (boo#963415)

- SSLv2 未阻断已禁用的密码

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
72139	GLSA-201401-30：Oracle JRE/JDK：多种漏洞	Nessus	Gentoo Local Security Checks	2014/1/27	2026/5/22	critical
76303	GLSA-201406-32：IcedTea JDK：多种漏洞 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical
217977	Linux Distros 未修补的漏洞: CVE-2013-0169	Nessus	Misc.	2025/3/4	2026/7/24	high
79013	RHEL 6：rhevm-spice-client (RHSA-2014: 0416)	Nessus	Red Hat Local Security Checks	2014/11/8	2023/4/25	high
78975	RHEL 5 / 6：Satellite Server 中的 IBM Java Runtime (RHSA-2013:1455) (BEAST)	Nessus	Red Hat Local Security Checks	2014/11/8	2022/12/5	critical
89651	openSUSE 安全更新：libopenssl0_9_8 (openSUSE-2016-294) (DROWN) (FREAK) (POODLE)	Nessus	SuSE Local Security Checks	2016/3/4	2022/12/5	critical

检测

插件搜索

critical

critical

high

high

critical

critical