发现 OpenJDK 的 JPEGImageReader 类会错误读取未使用的图像数据。攻击者可利用此问题特制 jpeg 图像文件，通过 Java 应用程序打开此文件时会造成拒绝服务。(CVE-2017-10053)

发现 OpenJDK 的 JAR 验证程序未能正确处理带有文件丢失摘要的存档。攻击者可利用此问题修改 JAR 文件的已签名内容。(CVE-2017-10067)

发现在生成范围检查循环谓词时，OpenJDK 的 Hotspot 组件存在整数溢出。攻击者可利用此问题特制不受信任的 Java 应用程序或小程序，以避开沙盒限制以及造成拒绝服务，或可能执行任意代码。
(CVE-2017-10074)

发现 OpenJDK 的 JavaScript Scripting 组件未能正确允许 Java API 访问。攻击者可利用此问题特制 JavaScript 代码以绕过访问限制。
(CVE-2017-10078)

发现 OpenJDK 未能正确处理函数签名中的括号。攻击者可利用此问题特制不受信任的 Java 应用程序或小程序以绕过沙盒限制。(CVE-2017-10081)

发现 OpenJDK 的 ThreadPoolExecutor 类在清理线程时，未能正确执行访问控制检查。攻击者可利用此问题特制不受信任的 Java 应用程序或小程序以避开沙盒限制以及可能执行任意代码。(CVE-2017-10087)

发现 OpenJDK 的 ServiceRegistry 实施在某些情况下，未能正确执行访问控制检查。攻击者可利用此问题特制不受信任的 Java 应用程序或小程序以避开沙盒限制。
(CVE-2017-10089)

发现 OpenJDK 的渠道群组实施在某些情况下，未能正确执行访问控制检查。攻击者可利用此问题特制不受信任的 Java 应用程序或小程序以绕过沙盒限制。
(CVE-2017-10090)

发现 OpenJDK 的 JAXP 组件的 DTM 异常处理代码未能正确执行访问控制检查。
攻击者可利用此问题特制不受信任的 Java 应用程序或小程序以绕过沙盒限制。
(CVE-2017-10096)

发现 OpenJDK 的 JAXP 组件未能正确准许对某些内部解析器的访问。攻击者可利用此问题特制不受信任的 Java 应用程序或小程序以绕过沙盒限制。(CVE-2017-10101)

发现 OpenJDK 的分布式垃圾收集器 (DGC) 在某些情况下未能正确追踪引用。远程攻击者可能利用此问题执行任意代码。
(CVE-2017-10102)

发现 OpenJDK 的 RMI 组件的 Activation ID 实施在某些情况下，未能正确检查访问控制权限。攻击者可利用此问题特制不受信任的 Java 应用程序或小程序以绕过沙盒限制。(CVE-2017-10107)

发现 OpenJDK 的 BasicAttribute 类在反序列化对象时未能正确限制内存分配。攻击者可利用此问题造成拒绝服务（内存消耗）。(CVE-2017-10108)

发现 OpenJDK 的 CodeSource 类在反序列化对象实例时未能正确限制内存分配。攻击者可利用此问题造成拒绝服务（内存消耗）。(CVE-2017-10109)

发现 OpenJDK 的 AWT ImageWatched 类未能正确执行访问控制检查，攻击者可利用此问题特制不受信任的 Java 应用程序或小程序以避开沙盒限制 (CVE-2017-10110)

Jackson Davis 发现 OpenJDK 的 Libraries 组件中的 LambdaFormEditor 类未在 permuteArgumentsForm() 函数中正确执行边界检查。攻击者可利用此问题特制不受信任的 Java 应用程序或小程序以避开沙盒限制以及可能执行任意代码。
(CVE-2017-10111)

发现 OpenJDK 的 DSA 实施存在侧信道时序漏洞。攻击者可利用此问题泄露敏感信息。(CVE-2017-10115)

发现 OpenJDK 的 LDAP 实施未能正确跟随非 LDAP URL 引用。攻击者可利用此问题特制 LDAP 转介 URL，以暴露敏感信息或绕过访问限制。(CVE-2017-10116)

发现 OpenJDK 的 ECDSA 实施存在侧信道时序漏洞。攻击者可利用此问题泄露敏感信息。(CVE-2017-10118)

Ilya Maykov 发现 OpenJDK 的 PKCS#8 实施存在侧信道时序漏洞。攻击者可利用此问题泄露敏感信息。(CVE-2017-10135)

发现 OpenJDK 的 Elliptic Curve (EC) 实施未能正确计算某些椭圆曲线点。攻击者可利用此问题泄露敏感信息。
(CVE-2017-10176)

发现 OpenJDK 在某些情况下未能正确限制弱密钥大小。攻击者可利用此问题特制不受信任的 Java 应用程序或小程序以绕过沙盒限制。(CVE-2017-10193)

发现 OpenJDK 在 X.509 证书链上未能正确实施禁用算法限制。攻击者可利用此问题暴露敏感信息或避开沙盒限制。(CVE-2017-10198)

发现 OpenJDK 在处理 Web 服务定义语言 (WSDL) XML 文档时，未能正确执行访问控制检查。攻击者可利用此问题泄露敏感信息。
(CVE-2017-10243)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

安全修复：- 已发现 OpenJDK 的组件 RMI 中的 DCG 实现未正确处理引用。远程攻击者可能利用此缺陷，以 RMI 注册表或 Java RMI 应用程序权限执行任意代码。(CVE-2017-10102) - 在 OpenJDK 的 RMI、JAXP、ImageIO、Libraries、AWT、Hotspot 和安全组件中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷完全绕过 Java 沙盒限制。(CVE-2017-10107, CVE-2017-10096, CVE-2017-10101, CVE-2017-10089, CVE-2017-10090, CVE-2017-10087, CVE-2017-10110, CVE-2017-10074, CVE-2017-10067) - 已发现 OpenJDK 安全组件中的 LDAPCertStore 类遵循 LDAP 对任意 URL 的引用。特制的 LDAP 引用 URL 可导致 LDAPCertStore 与非 LDAP 服务器通信。(CVE-2017-10116) - 已发现 OpenJDK 的 JAX-WS 组件的 wsdlimport 工具在解析 WSDL XML 文件时未使用安全的 XML 解析器设置。特制的 WSDL 文档可能导致 wsdlimport 占用过多 CPU 和内存、向其他主机开放连接或泄露信息。(CVE-2017-10243) - 在 OpenJDK 的 JCE 组件的 DSA 实现中发现隐蔽计时信道缺陷。可使 Java 应用程序按需生成 DSA 签名的远程攻击者，可利用此缺陷通过计时边信道提取已使用密钥的某些信息。(CVE-2017-10115) - 在 OpenJDK 的 JCE 组件的 PKCS#8 实现中存在隐蔽计时信道缺陷。可使 Java 应用程序反复比较 PKCS#8 密钥与攻击者控制值的远程攻击者，可利用此缺陷通过计时边信道确定密钥。(CVE-2017-10135) - 已发现 OpenJDK 中的 BasicAttribute 类和 CodeSource 类在从序列化表单中创建对象实例时未限制分配的内存数量。特制的序列化输入流可能导致 Java 占用过多内存。(CVE-2017-10108, CVE-2017-10109) - 在 OpenJDK 的 Hotspot 组件中发现缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。(CVE-2017-10081) - 已发现在某些情况下，OpenJDK 的 2D 组件中的 JPEGImageReader 实现会读取所有图像数据，即使是随后不会使用的图像数据。特制的图像可以导致 Java 应用程序临时占用过多 CPU 和内存。(CVE-2017-10053)

远程主机受到 GLSA-201709-22 中所述漏洞的影响（Oracle JDK/JRE、IcedTea：多个漏洞）在 Oracle 的 JRE、JDK 和 IcedTea 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：远程攻击者可能以进程的权限执行任意代码，从而造成拒绝服务情况，或获取信息访问权。解决方法：目前无任何已知的解决方法。

远程主机上安装的 Oracle（旧称 Sun）Java SE 或 Java for Business 的版本低于 8 Update 141、7 Update 151 或 6 Update 161。因而会受到多个漏洞的影响：- 2D 组件中存在一个不明缺陷，允许经身份验证的远程攻击者造成拒绝服务情况。(CVE-2017-10053) - Security 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10067, CVE-2017-10116) - Hotspot 组件中存在不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10074) - 脚本组件中存在不明缺陷，允许经身份验证的远程攻击者影响机密性和完整性。(CVE-2017-10078) - Hotspot 组件中存在不明缺陷，允许未经身份验证的远程攻击者影响完整性。(CVE-2017-10081) - JavaFX 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10086, CVE-2017-10114) - Libraries 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10087, CVE-2017-10090, CVE-2017-10111) - ImageIO 组件中存在不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10089) - JAXP 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10096, CVE-2017-10101) - RMI 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10102, CVE-2017-10107) - Java 高级管理控制台的服务器组件中存在多个不明缺陷，允许经身份验证的远程攻击者影响机密性、完整性和可用性。(CVE-2017-10104, CVE-2017-10145) - Deployment 组件中存在不明缺陷，允许未经身份验证的远程攻击者影响完整性。(CVE-2017-10105) - Serialization 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者耗尽可用内存，从而导致拒绝服务情况。(CVE-2017-10108, CVE-2017-10109) - AWT 组件中存在不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10110) - JCE 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10115, CVE-2017-10118, CVE-2017-10135) - Java 高级管理控制台的服务器组件中存在不明缺陷，允许未经身份验证的远程攻击者泄露敏感信息。(CVE-2017-10117) - Java 高级管理控制台的服务器组件中存在多个不明缺陷，允许未经身份验证的远程攻击者影响机密性、完整性和可用性。(CVE-2017-10121) - Deployment 组件中存在不明缺陷，允许本地攻击者影响机密性、完整性和可用性。(CVE-2017-10125) - Security 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10176, CVE-2017-10193, CVE-2017-10198) - JAX-WS 组件中存在不明缺陷，允许未经身份验证的远程攻击者影响机密性和可用性。(CVE-2017-10243)

远程主机上安装的 Oracle（旧称 Sun）Java SE 或 Java for Business 的版本低于 8 Update 141、7 Update 151 或 6 Update 161。因而会受到多个漏洞的影响：- 2D 组件中存在不明缺陷，允许未经身份验证的远程攻击者造成拒绝服务情况。(CVE-2017-10053) - Security 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10067, CVE-2017-10116) - Hotspot 组件中存在不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10074) - 脚本组件中存在不明缺陷，允许经身份验证的远程攻击者影响机密性和完整性。(CVE-2017-10078) - Hotspot 组件中存在不明缺陷，允许未经身份验证的远程攻击者影响完整性。(CVE-2017-10081) - JavaFX 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10086, CVE-2017-10114) - Libraries 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10087, CVE-2017-10090, CVE-2017-10111) - ImageIO 组件中存在不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10089) - JAXP 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10096, CVE-2017-10101) - RMI 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10102, CVE-2017-10107) - Java 高级管理控制台的服务器组件中存在多个不明缺陷，允许经身份验证的远程攻击者影响机密性、完整性和可用性。(CVE-2017-10104, CVE-2017-10145) - Deployment 组件中存在不明缺陷，允许未经身份验证的远程攻击者影响完整性。(CVE-2017-10105) - Serialization 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者耗尽可用内存，从而导致拒绝服务情况。(CVE-2017-10108, CVE-2017-10109) - AWT 组件中存在不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10110) - JCE 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10115, CVE-2017-10118, CVE-2017-10135) - Java 高级管理控制台的服务器组件中存在不明缺陷，允许未经身份验证的远程攻击者泄露敏感信息。(CVE-2017-10117) - Java 高级管理控制台的服务器组件中存在多个不明缺陷，允许未经身份验证的远程攻击者影响机密性、完整性和可用性。(CVE-2017-10121) - Deployment 组件中存在不明缺陷，允许本地攻击者影响机密性、完整性和可用性。(CVE-2017-10125) - Security 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10176, CVE-2017-10193, CVE-2017-10198) - JAX-WS 组件中存在不明缺陷，允许未经身份验证的远程攻击者影响机密性和可用性。(CVE-2017-10243)

java-1.7.0-oracle 的更新现在可用于 Oracle Java for Red Hat Enterprise Linux 6 和 Oracle Java for Red Hat Enterprise Linux 7。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Oracle Java SE 版本 7 包括 Oracle Java Runtime Environment 和 Oracle Java 软件开发工具包。此更新将 Oracle Java SE 7 升级到版本 7 Update 151。安全修复：* 此更新修复了 Oracle Java Runtime Environment 和 Oracle Java 软件开发工具包中的多个漏洞。有关这些缺陷的更多信息，请参阅“参考”部分的“Oracle Java SE 关键修补程序更新公告”页面。(CVE-2017-10053, CVE-2017-10067, CVE-2017-10074, CVE-2017-10081, CVE-2017-10086, CVE-2017-10087, CVE-2017-10089, CVE-2017-10090, CVE-2017-10096, CVE-2017-10101, CVE-2017-10102, CVE-2017-10105, CVE-2017-10107, CVE-2017-10108, CVE-2017-10109, CVE-2017-10110, CVE-2017-10114, CVE-2017-10115, CVE-2017-10116, CVE-2017-10118, CVE-2017-10135, CVE-2017-10176, CVE-2017-10193, CVE-2017-10198, CVE-2017-10243)

来自 Red Hat 安全公告 2017:2424： java-1.7.0-openjdk 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队已将此更新评级为具有重大安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。 安全补丁： * 已发现 OpenJDK 的组件 RMI 中的 DCG 实现未正确处理引用。远程攻击者可能利用此缺陷，以 RMI 注册表或 Java RMI 应用程序权限执行任意代码。(CVE-2017-10102) * 在 OpenJDK 的 RMI、JAXP、ImageIO、Libraries、AWT、Hotspot 和 Security 组件中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷完全绕过 Java 沙盒限制。(CVE-2017-10107, CVE-2017-10096, CVE-2017-10101, CVE-2017-10089, CVE-2017-10090, CVE-2017-10087, CVE-2017-10110, CVE-2017-10074, CVE-2017-10067) * 已发现 OpenJDK Security 组件中的 LDAPCertStore 类遵循任意 URL 的 LDAP 引用。特制的 LDAP 引用 URL 可导致 LDAPCertStore 与非 LDAP 服务器通信。(CVE-2017-10116) * 已发现 OpenJDK 的 JAX-WS 组件的 wsdlimport 工具在解析 WSDL XML 文档时未使用安全的 XML 解析器设置。特制的 WSDL 文档可能导致 wsdlimport 占用过多 CPU 和内存、向其他主机开放连接或泄露信息。(CVE-2017-10243) * 在 OpenJDK 的 JCE 组件的 DSA 实现中发现隐蔽计时通道缺陷。可使 Java 应用程序按需生成 DSA 签名的远程攻击者，可利用此缺陷通过计时边信道提取已使用密钥的某些信息。(CVE-2017-10115) * 在 OpenJDK 的 JCE 组件的 PKCS#8 实现中发现隐蔽计时通道缺陷。可使 Java 应用程序反复比较 PKCS#8 密钥与攻击者控制值的远程攻击者，可利用此缺陷通过计时边信道确定密钥。(CVE-2017-10135) * 已发现 OpenJDK 中的 BasicAttribute 类和 CodeSource 类在从序列化表单中创建对象实例时未限制分配的内存数量。特制的序列化输入流可能导致 Java 占用过多内存。(CVE-2017-10108, CVE-2017-10109) * 在 OpenJDK 中的 Hotspot 组件内发现一个缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。(CVE-2017-10081) * 已发现在某些情况下，OpenJDK 的 2D 组件中的 JPEGImageReader 实现会读取所有图像数据，即使是随后不会使用的图像数据。特制的图像可以导致 Java 应用程序临时占用过多 CPU 和内存。 (CVE-2017-10053)

在 Oracle Java 平台的实现 OpenJDK 中发现数个漏洞，可能导致绕过沙盒、身份验证不正确、执行任意代码、拒绝服务、信息泄露、使用不安全加密或绕过 Jar 验证。

远程 Windows 主机上安装的 Oracle JRockit 版本为 R28.3.14。因而会受到多个漏洞的影响：- 2D 组件中存在一个不明缺陷，允许经身份验证的远程攻击者造成拒绝服务情况。(CVE-2017-10053) - Serialization 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者造成拒绝服务情况。(CVE-2017-10108, CVE-2017-10109) - JCE 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10115, CVE-2017-10118, CVE-2017-10135) - Security 组件中存在不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10116) - Security 组件中存在多个不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2017-10176, CVE-2017-10198) - JAX-WS 组件中存在不明缺陷，允许未经身份验证的远程攻击者泄露敏感信息或造成拒绝服务情况。(CVE-2017-10243) 注意此漏洞 (CVE-2017-10109) 适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。此漏洞不适用于 Java 部署，通常在仅加载并运行可信代码（如管理员安装的代码）的服务器上。然而，上述其他漏洞能通过需要在沙盒中运行的 Java Web Start 应用程序和需要在沙盒中运行的 Java 小程序加以利用。它们也可通过向指定组件中的 API 提供数据而遭到利用，不使用沙盒 Java Web Start 应用程序或沙盒 Java 小程序，例如通过 Web 服务。

The version of Oracle Java SE installed on the remote host is prior to 6 Update 161, 7 Update 151, or 8 Update 141, and is therefore affected by a flaw that is triggered during object deserialization. This may allow a remote attacker to exhaust available memory and potentially cause a crash. (CVE-2017-10108, CVE-2017-10109)

These versions of Java SE are also affected by multiple vulerabilities in the following components :

 2D (CVE-2017-10053), AWT (CVE-2017-10110), Deployment (CVE-2017-10105), Deployment (CVE-2017-10125), Hotspot (CVE-2017-10074, CVE-2017-10081), ImageIO (CVE-2017-10089), JAX-WS (CVE-2017-10243), JAXP (CVE-2017-10096, CVE-2017-10101), JCE (CVE-2017-10115, CVE-2017-10118, CVE-2017-10135), JavaFX (CVE-2017-10086, CVE-2017-10114), Libraries (CVE-2017-10087, CVE-2017-10090, CVE-2017-10111), RMI (CVE-2017-10102, CVE-2017-10107), Scripting (CVE-2017-10067, CVE-2017-10078), Security (CVE-2017-10116, CVE-2017-10176, CVE-2017-10193, CVE-2017-10198)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102014	Ubuntu 16.04 LTS：OpenJDK 8 漏洞 (USN-3366-1)	Nessus	Ubuntu Local Security Checks	2017/7/27	2024/8/27	critical
102665	Scientific Linux 安全更新：SL6.x、SL7.x i386/x86_64 中的 java-1.7.0-openjdk	Nessus	Scientific Linux Local Security Checks	2017/8/22	2021/1/14	critical
103450	GLSA-201709-22：Oracle JDK/JRE、IcedTea：多个漏洞	Nessus	Gentoo Local Security Checks	2017/9/25	2021/1/11	critical
127348	NewStart CGSL MAIN 4.05：java-1.8.0-openjdk 多个漏洞 (NS-SA-2019-0111)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2024/5/7	critical
127357	NewStart CGSL MAIN 4.05 : java-1.7.0-openjdk 多个漏洞 (NS-SA-2019-0116)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	critical
101843	Oracle Java SE 多个漏洞（2017 年 7 月 CPU）	Nessus	Windows	2017/7/20	2024/12/20	critical
101844	Oracle Java SE Multiple Vulnerabilities (July 2017 CPU) (Unix)	Nessus	Misc.	2017/7/20	2024/6/20	critical
101881	RHEL 6/7：java-1.7.0-oracle (RHSA-2017:1791)	Nessus	Red Hat Local Security Checks	2017/7/21	2021/3/11	critical
102346	Oracle Linux 6 / 7 : java-1.7.0-openjdk (ELSA-2017-2424)	Nessus	Oracle Linux Local Security Checks	2017/8/10	2024/10/22	critical
102790	Debian DSA-3954-1：openjdk-7 - 安全更新	Nessus	Debian Local Security Checks	2017/8/28	2021/1/4	critical
101839	Oracle JRockit R28.3.14 多个漏洞（2017 年 7 月 CPU）	Nessus	Windows	2017/7/20	2019/11/12	medium
700165	Oracle Java SE 6 < Update 161 / 7 < Update 151 / 8 < Update 141 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2017/7/26	2019/3/6	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

medium

critical