The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2013:1451 advisory.

    The java-1.7.0-openjdk packages provide the OpenJDK 7 Java Runtime     Environment and the OpenJDK 7 Java Software Development Kit.

    Multiple input checking flaws were found in the 2D component native image     parsing code. A specially crafted image file could trigger a Java Virtual     Machine memory corruption and, possibly, lead to arbitrary code execution     with the privileges of the user running the Java Virtual Machine.
    (CVE-2013-5782)

    The class loader did not properly check the package access for non-public     proxy classes. A remote attacker could possibly use this flaw to execute     arbitrary code with the privileges of the user running the Java Virtual     Machine. (CVE-2013-5830)

    Multiple improper permission check issues were discovered in the 2D, CORBA,     JNDI, and Libraries components in OpenJDK. An untrusted Java application or     applet could use these flaws to bypass Java sandbox restrictions.
    (CVE-2013-5829, CVE-2013-5814, CVE-2013-5817, CVE-2013-5842, CVE-2013-5850,     CVE-2013-5838)

    Multiple input checking flaws were discovered in the JPEG image reading and     writing code in the 2D component. An untrusted Java application or applet     could use these flaws to corrupt the Java Virtual Machine memory and bypass     Java sandbox restrictions. (CVE-2013-5809)

    The FEATURE_SECURE_PROCESSING setting was not properly honored by the     javax.xml.transform package transformers. A remote attacker could use this     flaw to supply a crafted XML that would be processed without the intended     security restrictions. (CVE-2013-5802)

    Multiple errors were discovered in the way the JAXP and Security components     processes XML inputs. A remote attacker could create a crafted XML that     would cause a Java application to use an excessive amount of CPU and memory     when processed. (CVE-2013-5825, CVE-2013-4002, CVE-2013-5823)

    Multiple improper permission check issues were discovered in the Libraries,     Swing, JAX-WS, JAXP, JGSS, AWT, Beans, and Scripting components in OpenJDK.
    An untrusted Java application or applet could use these flaws to bypass     certain Java sandbox restrictions. (CVE-2013-3829, CVE-2013-5840,     CVE-2013-5774, CVE-2013-5783, CVE-2013-5820, CVE-2013-5851, CVE-2013-5800,     CVE-2013-5849, CVE-2013-5790, CVE-2013-5784)

    It was discovered that the 2D component image library did not properly     check bounds when performing image conversions. An untrusted Java     application or applet could use this flaw to disclose portions of the Java     Virtual Machine memory. (CVE-2013-5778)

    Multiple input sanitization flaws were discovered in javadoc. When javadoc     documentation was generated from an untrusted Java source code and hosted     on a domain not controlled by the code author, these issues could make it     easier to perform cross-site scripting attacks. (CVE-2013-5804,     CVE-2013-5797)

    Various OpenJDK classes that represent cryptographic keys could leak     private key information by including sensitive data in strings returned by     toString() methods. These flaws could possibly lead to an unexpected     exposure of sensitive key data. (CVE-2013-5780)

    The Java Heap Analysis Tool (jhat) failed to properly escape all data added     into the HTML pages it generated. Crafted content in the memory of a Java     program analyzed using jhat could possibly be used to conduct cross-site     scripting attacks. (CVE-2013-5772)

    The Kerberos implementation in OpenJDK did not properly parse KDC     responses. A malformed packet could cause a Java application using JGSS to     exit. (CVE-2013-5803)

    Note: If the web browser plug-in provided by the icedtea-web package was     installed, the issues exposed via Java applets could have been exploited     without user interaction if a user visited a malicious website.

    All users of java-1.7.0-openjdk are advised to upgrade to these updated     packages, which resolve these issues. All running instances of OpenJDK Java     must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Updated java-1.6.0-ibm packages that fix several security issues are now available for Red Hat Network Satellite Server 5.4, 5.5 and 5.6.

The Red Hat Security Response Team has rated this update as having low security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

This update corrects several security vulnerabilities in the IBM Java Runtime Environment shipped as part of Red Hat Network Satellite Server 5.4, 5.5 and 5.6. In a typical operating environment, these are of low security risk as the runtime is not used on untrusted applets.

Several flaws were fixed in the IBM Java 2 Runtime Environment.
(CVE-2013-3829, CVE-2013-4041, CVE-2013-5372, CVE-2013-5375, CVE-2013-5457, CVE-2013-5772, CVE-2013-5774, CVE-2013-5776, CVE-2013-5778, CVE-2013-5780, CVE-2013-5782, CVE-2013-5783, CVE-2013-5784, CVE-2013-5787, CVE-2013-5789, CVE-2013-5797, CVE-2013-5801, CVE-2013-5802, CVE-2013-5803, CVE-2013-5804, CVE-2013-5809, CVE-2013-5812, CVE-2013-5814, CVE-2013-5817, CVE-2013-5818, CVE-2013-5819, CVE-2013-5820, CVE-2013-5823, CVE-2013-5824, CVE-2013-5825, CVE-2013-5829, CVE-2013-5830, CVE-2013-5831, CVE-2013-5832, CVE-2013-5840, CVE-2013-5842, CVE-2013-5843, CVE-2013-5848, CVE-2013-5849, CVE-2013-5850, CVE-2013-5851)

Users of Red Hat Network Satellite Server 5.4, 5.5 and 5.6 are advised to upgrade to these updated packages, which contain the IBM Java SE 6 SR15 release. For this update to take effect, Red Hat Network Satellite Server must be restarted ('/usr/sbin/rhn-satellite restart'), as well as all running instances of IBM Java.

The remote host is affected by the vulnerability described in GLSA-201401-30 (Oracle JRE/JDK: Multiple vulnerabilities)

    Multiple vulnerabilities have been reported in the Oracle Java       implementation. Please review the CVE identifiers referenced below for       details.
  Impact :

    An unauthenticated, remote attacker could exploit these vulnerabilities       to execute arbitrary code.
      Furthermore, a local or remote attacker could exploit these       vulnerabilities to cause unspecified impact, possibly including remote       execution of arbitrary code.
  Workaround :

    There is no known workaround at this time.

The remote host is affected by the vulnerability described in GLSA-201406-32 (IcedTea JDK: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in the IcedTea JDK. Please       review the CVE identifiers referenced below for details.
  Impact :

    A remote attacker could possibly execute arbitrary code with the       privileges of the process, cause a Denial of Service condition, obtain       sensitive information, bypass intended security policies, or have other       unspecified impact.
  Workaround :

    There is no known workaround at this time.

来自 Red Hat 安全公告 2013:1451：

更新后的 java-1.7.0-openjdk 程序包修复了各种安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。

在 2D 组件原生图像解析代码中发现多种输入检查缺陷。特别构建的图像文件可触发 Java 虚拟机内存损坏并可能导致以运行 Java 虚拟机的用户权限执行任意代码。(CVE-2013-5782)

类装载器未正确检查对非公共代理类的程序包访问。远程攻击者可能利用此缺陷以运行 Java 虚拟机的用户的权限执行任意代码。(CVE-2013-5830)

在 OpenJDK 的 2D、CORBA、JNDI 和 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。（CVE-2013-5829、CVE-2013-5814、CVE-2013-5817、CVE-2013-5842、CVE-2013-5850、CVE-2013-5838）

在 2D 组件的 JPEG 图像读取和写入代码中发现多种输入检查缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷损坏 Java 虚拟机内存并绕过 Java 沙盒限制。
(CVE-2013-5809)

javax.xml.transform 程序包转换器未正确遵守 FEATURE_SECURE_PROCESSING 设置。远程攻击者可利用此缺陷提供构建的 XML，该 XML 会在无预期安全限制的情况下进行处理。(CVE-2013-5802)

在 JAXP 和 Security 组件处理 XML 输入的方式中发现多种错误。远程攻击者可创建构建的 XML，这会导致 Java 应用程序在处理时使用过量的 CPU 和内存。（CVE-2013-5825、CVE-2013-4002、CVE-2013-5823）

在 OpenJDK 的 Libraries、Swing、JAX-WS、JAXP、JGSS、AWT、Beans 和 Scripting 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2013-3829、CVE-2013-5840、CVE-2013-5774、CVE-2013-5783、CVE-2013-5820、CVE-2013-5851、CVE-2013-5800、CVE-2013-5849、CVE-2013-5790、CVE-2013-5784）

已发现当执行图像转换时，2D 组件图像库未正确检查边界。不受信任的 Java 应用程序或小程序可利用此缺陷泄露 Java 虚拟机的部分内存。(CVE-2013-5778)

在 javadoc 中发现多种输入审查缺陷。如果 javadoc 文档从不受信任的 Java 源代码生成并托管于不受代码作者控制的域中，这些问题可导致更容易执行跨站脚本攻击。
（CVE-2013-5804、CVE-2013-5797）

代表加密密钥的各种 OpenJDK 类可通过向 toString() 方法返回的字符串中添加敏感数据，泄漏私钥信息。这些缺陷可能导致意外暴露敏感密钥数据。(CVE-2013-5780)

Java Heap Analysis Tool (jhat) 无法正确转义添加到所生成 HTML 页面的所有数据。使用 jhat 分析的 Java 程序内存中构建的内容可能用于执行跨站脚本攻击。(CVE-2013-5772)

OpenJDK 的 Kerberos 实现未正确解析 KDC 响应。畸形数据包可导致使用 JGSS 的 Java 应用程序退出。(CVE-2013-5803)

注意：安装由 icedtea-web 程序包提供的 Web 浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在不与用户交互的情况下被利用。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:1451 公告中提及的多个漏洞影响。

    java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。

    在 2D 组件原生图像解析代码中发现多种输入检查缺陷。特别构建的图像文件可触发 Java 虚拟机内存损坏并可能导致以运行 Java 虚拟机的用户权限执行任意代码。
    (CVE-2013-5782)

    类装载器未正确检查对非公共代理类的程序包访问。远程攻击者可能利用此缺陷以运行 Java 虚拟机的用户的权限执行任意代码。(CVE-2013-5830)

    在 OpenJDK 的 2D、CORBA、JNDI 和 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
    （CVE-2013-5829、CVE-2013-5814、CVE-2013-5817、CVE-2013-5842、CVE-2013-5850、CVE-2013-5838）

    在 2D 组件的 JPEG 图像读取和写入代码中发现多种输入检查缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷损坏 Java 虚拟机内存并绕过 Java 沙盒限制。(CVE-2013-5809)

    javax.xml.transform 程序包转换器未正确遵守 FEATURE_SECURE_PROCESSING 设置。远程攻击者可利用此缺陷提供构建的、将在无预期安全限制的情况下得到处理的 XML。(CVE-2013-5802)

    在 JAXP 和 Security 组件处理 XML 输入的方式中发现多种错误。远程攻击者可创建构建的 XML，得到处理后将导致 Java 应用程序使用过量 CPU 和内存。（CVE-2013-5825、CVE-2013-4002、CVE-2013-5823）

    在 OpenJDK 的 Libraries、Swing、JAX-WS、JAXP、JGSS、AWT、Beans 和 Scripting 组件中发现多个权限检查不当问题。
    不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2013-3829、CVE-2013-5840、CVE-2013-5774、CVE-2013-5783、CVE-2013-5820、CVE-2013-5851、CVE-2013-5800、CVE-2013-5849、CVE-2013-5790、CVE-2013-5784）

    已发现当执行图像转换时，2D 组件图像库未正确检查边界。不受信任的 Java 应用程序或小程序可利用此缺陷泄露 Java 虚拟机的部分内存。(CVE-2013-5778)

    在 javadoc 中发现多种输入审查缺陷。当 javadoc 文档由不受信任的 Java 源代码生成并托管于不受代码作者控制的域时，这些问题可能更容易导致跨站脚本攻击。（CVE-2013-5804、CVE-2013-5797）

    代表加密密钥的各种 OpenJDK 类可通过向 toString() 方法返回的字符串中添加敏感数据，泄漏私钥信息。这些缺陷可能导致意外暴露敏感密钥数据。(CVE-2013-5780)

    Java Heap Analysis Tool (jhat) 无法正确转义添加到所生成 HTML 页面的所有数据。使用 jhat 分析的 Java 程序的内存中构建的内容可能会被用于进行跨站脚本攻击。(CVE-2013-5772)

    OpenJDK 的 Kerberos 实现未正确解析 KDC 响应。畸形数据包可导致使用 JGSS 的 Java 应用程序退出。(CVE-2013-5803)

    注意：安装由 icedtea-web 程序包提供的网页浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在无用户交互的情况下被利用。

    建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，更新才能生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 java-1.6.0-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Network Satellite Server 5.4、5.5 和 5.6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

此更新修正 Red Hat Network Satellite Server 5.4、5.5 和 5.6 随附的 IBM Java Runtime Environment 中的多个安全漏洞。在典型的操作环境中，这些问题的安全风险较低，因为不受信任的小程序上不会使用运行时。

修复了 IBM Java 2 Runtime Environment 中的多个缺陷。
（CVE-2013-3829、CVE-2013-4041、CVE-2013-5372、CVE-2013-5375、CVE-2013-5457、CVE-2013-5772、CVE-2013-5774、CVE-2013-5776、CVE-2013-5778、CVE-2013-5780、CVE-2013-5782、CVE-2013-5783、CVE-2013-5784、CVE-2013-5787、CVE-2013-5789、CVE-2013-5797、CVE-2013-5801、CVE-2013-5802、CVE-2013-5803、CVE-2013-5804、CVE-2013-5809、CVE-2013-5812、CVE-2013-5814、CVE-2013-5817、CVE-2013-5818、CVE-2013-5819、CVE-2013-5820、CVE-2013-5823、CVE-2013-5824、CVE-2013-5825、CVE-2013-5829、CVE-2013-5830、CVE-2013-5831、CVE-2013-5832、CVE-2013-5840、CVE-2013-5842、CVE-2013-5843、CVE-2013-5848、CVE-2013-5849、CVE-2013-5850、CVE-2013-5851）

建议 Red Hat Network Satellite Server 5.4、5.5 和 5.6 的用户升级这些更新后的程序包，其中包含 IBM Java SE 6 SR15 版本。为使此更新生效，必须重新启动 Red Hat Network Satellite Server(“/usr/sbin/rhn-satellite restart”) 以及所有正在运行的 IBM Java 实例。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Oracle Java SE 7u40 和更早版本以及 Java SE Embedded 7u40 和更早版本中的不明漏洞允许远程攻击者通过与 JAXP 相关的矢量影响机密性。 (CVE-2013-5851)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机受到 GLSA-201401-30 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

据报告，在 Oracle Java 实现中存在多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

未经认证的远程攻击者可利用这些漏洞执行任意代码。
 此外，本地或远程攻击者可利用这些漏洞造成不明影响，可能包括远程执行任意代码。
 变通方案：

目前无任何已知的变通方案。

远程主机受到 GLSA-201406-32 中所述漏洞的影响（IcedTea JDK：多种漏洞）

已在 IcedTea JDK 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可能以进程的权限执行任意代码，造成拒绝服务情况，获得敏感信息，绕过预期的安全策略，或造成其他不明影响。
 变通方案：

目前无任何已知的变通方案。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Oracle Java SE 7u40 和更舊版本以及 Java SE Embedded 7u40 和更舊版本中有不明弱點，允許遠端攻擊者透過與 JAXP 相關的向量影響機密性。 (CVE-2013-5851)

請注意，Nessus 依賴供應商報告的套件存在。

來自 Red Hat 安全性公告 2013:1451：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 java-1.7.0-openjdk 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.7.0-openjdk 套件提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java Software Development Kit。

在 2D 元件原生影像剖析程式碼中找到多個輸入檢查瑕疵。利用特製的影像檔可觸發 Java 虛擬機器記憶體損毀，甚至可能以執行 Java 虛擬機器之使用者的權限，執行任意程式碼。(CVE-2013-5782)

類別載入器未正確檢查非公開 proxy 類別的套件存取權。遠端攻擊者可利用此瑕疵，以執行 Java 虛擬機器之使用者的權限執行任意程式碼。(CVE-2013-5830)

在 OpenJDK 的 2D、CORBA、JNDI 和程式庫元件中，發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2013-5829、CVE-2013-5814、CVE-2013-5817、CVE-2013-5842、CVE-2013-5850、CVE-2013-5838)

在 2D 元件的 JPEG 影像讀取和寫入程式碼中，發現多個輸入檢查瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，損毀 Java 虛擬機器記憶體，且可能繞過 Java Sandbox 限制。
(CVE-2013-5809)

javax.xml.transform 套件轉換器未正確接受 FEATURE_SECURE_PROCESSING 設定。遠端攻擊者可利用此瑕疵，提供一個特製 XML，處理時無須遵守預定的安全性限制。(CVE-2013-5802)

在 JAXP 和 Security 元件用於處理 XML 輸入的方式中發現多個錯誤。遠端攻擊者可建立特製的 XML，導致 Java 應用程式在處理時，使用過量的 CPU 和記憶體。(CVE-2013-5825、CVE-2013-4002、CVE-2013-5823)

在 OpenJDK 的 Libraries、Swing、JAX-WS、JAXP、JGSS、AWT、Beans 和 Scripting 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2013-3829、CVE-2013-5840、CVE-2013-5774、CVE-2013-5783、CVE-2013-5820、CVE-2013-5851、CVE-2013-5800、CVE-2013-5849、CVE-2013-5790、CVE-2013-5784)

據發現，2D 元件影像程式庫在執行影像轉換時，未正確檢查邊界。未受信任的 Java 應用程式或 applet 可利用此瑕疵，洩漏部分 Java 虛擬機器記憶體。(CVE-2013-5778)

在 javadoc 中發現多個輸入清理瑕疵。若 javadoc 文件是由不受信任的 Java 原始碼產生，且是在未由程式碼作者所控制的網域上託管，這些問題可導致攻擊者更容易發動跨網站指令碼攻擊。
(CVE-2013-5804、CVE-2013-5797)

代表密碼編譯金鑰的各種 OpenJDK 類別，可在 toString() 方法傳回的字串中加入敏感資料，進而洩漏私密金鑰資訊。這些瑕疵可能導致未預期暴露敏感的金鑰資料。(CVE-2013-5780)

Java Heap Analysis Tool (jhat) 無法將新增至其產生之 HTML 頁面的所有資料正確逸出。在使用 jhat 分析的 Java 程式中，特製的記憶體內容可能遭到用來發動跨網站指令碼攻擊。(CVE-2013-5772)

OpenJDK 中的 Kerberos 實作未正確剖析 KDC 回應。格式錯誤的封包可導致使用 JGSS 的 Java 應用程式結束執行。(CVE-2013-5803)

注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:1451 公告中提及的多個弱點影響。

    Java-1.7.0-openjdk 套件提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java Software Development Kit。

    在 2D 元件原生影像剖析程式碼中找到多個輸入檢查瑕疵。利用特製的影像檔可觸發 Java 虛擬機器記憶體損毀，甚至可能以執行 Java 虛擬機器之使用者的權限，執行任意程式碼。
    (CVE-2013-5782)

    類別載入器未正確檢查非公開 proxy 類別的套件存取權。遠端攻擊者可能利用此瑕疵，以執行 Java 虛擬機器之使用者的權限執行任意程式碼。(CVE-2013-5830)

    在 OpenJDK 的 2D、CORBA、JNDI 和程式庫元件中，發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
    (CVE-2013-5829、CVE-2013-5814、CVE-2013-5817、CVE-2013-5842、CVE-2013-5850、CVE-2013-5838)

    在 2D 元件的 JPEG 影像讀取和寫入程式碼中，發現多個輸入檢查瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，損毀 Java 虛擬機器記憶體，並繞過 Java Sandbox 限制。(CVE-2013-5809)

    javax.xml.transform 套件轉換器未正確接受 FEATURE_SECURE_PROCESSING 設定。遠端攻擊者可利用此瑕疵，提供一個特製 XML，處理時無須遵守預定的安全性限制。(CVE-2013-5802)

    在 JAXP 和 Security 元件用於處理 XML 輸入的方式中發現多個錯誤。遠端攻擊者可建立特製的 XML，導致 Java 應用程式在處理時，使用過量的 CPU 和記憶體。(CVE-2013-5825、CVE-2013-4002、CVE-2013-5823)

    在 OpenJDK 的 Libraries、Swing、JAX-WS、JAXP、JGSS、AWT、Beans 和 Scripting 元件中，發現多個權限檢查不當問題。
    未受信任的 Java 應用程式或 applet 可利用這些缺陷，繞過特定 Java Sandbox 限制。(CVE-2013-3829、CVE-2013-5840、CVE-2013-5774、CVE-2013-5783、CVE-2013-5820、CVE-2013-5851、CVE-2013-5800、CVE-2013-5849、CVE-2013-5790、CVE-2013-5784)

    據發現，2D 元件影像程式庫在執行影像轉換時，未正確檢查邊界。未受信任的 Java 應用程式或 applet 可利用此瑕疵，洩漏部分 Java 虛擬機器記憶體。(CVE-2013-5778)

    在 javadoc 中發現多個輸入清理瑕疵。若 javadoc 文件是由不受信任的 Jave 原始碼產生，且是被未由程式碼作者所控制的網域主控，這些問題可導致更容易執行跨網站指令碼攻擊。(CVE-2013-5804、CVE-2013-5797)

    代表密碼編譯金鑰的各種 OpenJDK 類別，可在 toString() 方法傳回的字串中加入敏感資料，進而洩漏私密金鑰資訊。這些瑕疵可能導致未預期暴露敏感的金鑰資料。(CVE-2013-5780)

    Java Heap Analysis Tool (jhat) 無法將新增至其產生之 HTML 頁面的所有資料正確逸出。在使用 jhat 分析的 Java 程式記憶體中，特製的內容可能遭用來發動跨網站指令碼攻擊。(CVE-2013-5772)

    OpenJDK 中的 Kerberos 實作未正確剖析 KDC 回應。格式錯誤的封包可造成使用 JGSS 的 Java 應用程式結束。(CVE-2013-5803)

    注意：如果已安裝 icedtea-Web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

    建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。OpenJDK Java 所有執行中的執行個體都必須重新啟動，更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Network Satellite Server 5.4、5.5 和 5.6 的更新版 java-1.6.0-ibm 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

此更新可更正隨附於 Red Hat Network Satellite Server 5.4、5.5 和 5.6 之 IBM Java Runtime Environment 中的數個安全性弱點。在典型操作環境中，這些項目的安全性風險較低，因為運行時間並未用於不受信任的 applet。

IBM Java 2 Runtime Environment 中的多個瑕疵已修正。
(CVE-2013-3829、CVE-2013-4041、CVE-2013-5372、CVE-2013-5375、CVE-2013-5457、CVE-2013-5772、CVE-2013-5774、CVE-2013-5776、CVE-2013-5778、CVE-2013-5780、CVE-2013-5782、CVE-2013-5783、CVE-2013-5784、CVE-2013-5787、CVE-2013-5789、CVE-2013-5797、CVE-2013-5801、CVE-2013-5802、CVE-2013-5803、CVE-2013-5804、CVE-2013-5809、CVE-2013-5812、CVE-2013-5814、CVE-2013-5817、CVE-2013-5818、CVE-2013-5819、CVE-2013-5820、CVE-2013-5823、CVE-2013-5824、CVE-2013-5825、CVE-2013-5829、CVE-2013-5830、CVE-2013-5831、CVE-2013-5832、CVE-2013-5840、CVE-2013-5842、CVE-2013-5843、CVE-2013-5848、CVE-2013-5849、CVE-2013-5850、CVE-2013-5851)

建議 Red Hat Network Satellite Server 5.4、5.5 和 5.6 使用者升級至這些更新版套件，其中包含 IBM Java SE 6 SR15 版本。必須重新啟動 Red Hat Network Satellite Server (「/usr/sbin/rhn-satellite restart」)，以及所有執行中的 IBM Java 執行個體，此更新才會生效。

遠端主機受到 GLSA-201401-30 中所述弱點的影響 (Oracle JRE/JDK：多個弱點)

Oracle Java 實作中已報告有多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

未經驗證的遠端攻擊者可惡意利用這些弱點來執行任意程式碼。
 此外，本機或遠端攻擊者可惡意利用這些弱點造成不明影響，其中可能包含遠端任意程式碼執行。
 因應措施：

目前尚無已知的因應措施。

遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
70554	RHEL 6 : java-1.7.0-openjdk (RHSA-2013:1451)	Nessus	Red Hat Local Security Checks	2013/10/23	2025/3/21	medium
78984	RHEL 5 / 6 : IBM Java Runtime in Satellite Server (RHSA-2013:1793)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	critical
72139	GLSA-201401-30 : Oracle JRE/JDK: Multiple vulnerabilities (ROBOT)	Nessus	Gentoo Local Security Checks	2014/1/27	2025/6/10	critical
76303	GLSA-201406-32 : IcedTea JDK: Multiple vulnerabilities (BEAST) (ROBOT)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical
70551	Oracle Linux 6：java-1.7.0-openjdk (ELSA-2013-1451)	Nessus	Oracle Linux Local Security Checks	2013/10/23	2024/10/22	medium
70554	RHEL 6 : java-1.7.0-openjdk (RHSA-2013:1451)	Nessus	Red Hat Local Security Checks	2013/10/23	2025/3/21	medium
78984	RHEL 5 / 6：Satellite Server 中的 IBM Java Runtime (RHSA-2013:1793)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	critical
217889	Linux Distros 未修补的漏洞: CVE-2013-5851	Nessus	Misc.	2025/3/4	2025/8/18	high
72139	GLSA-201401-30：Oracle JRE/JDK：多种漏洞	Nessus	Gentoo Local Security Checks	2014/1/27	2025/6/10	critical
76303	GLSA-201406-32：IcedTea JDK：多种漏洞 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical
217889	Linux Distros 未修補弱點：CVE-2013-5851	Nessus	Misc.	2025/3/4	2025/8/18	high
70551	Oracle Linux 6 : java-1.7.0-openjdk (ELSA-2013-1451)	Nessus	Oracle Linux Local Security Checks	2013/10/23	2024/10/22	medium
70554	RHEL 6：java-1.7.0-openjdk (RHSA-2013:1451)	Nessus	Red Hat Local Security Checks	2013/10/23	2025/3/21	medium
78984	RHEL 5 / 6：Satellite Server 中的 IBM Java Runtime (RHSA-2013:1793)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	critical
72139	GLSA-201401-30：Oracle JRE/JDK：多個弱點	Nessus	Gentoo Local Security Checks	2014/1/27	2025/6/10	critical
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical

检测

插件搜索

medium

critical

critical

critical

medium

medium

critical

high

critical

critical

high

medium

medium

critical

critical

critical