現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 java-1.7.0-openjdk 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

這些套件提供 OpenJDK 7 Java Runtime Environment 與 OpenJDK 7 Software Development Kit。

在 OpenJDK 的 AWT、CORBA、JMX、Libraries 和 Beans 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2013-0442、CVE-2013-0445、CVE-2013-0441、CVE-2013-1475、CVE-2013-1476、CVE-2013-0429、CVE-2013-0450、CVE-2013-0425、CVE-2013-0426、CVE-2013-0428、CVE-2013-0444)

在 2D 和 AWT 元件中的影像剖析器處理影像點陣參數的方式中發現多個瑕疵。特製的影像可造成 Java 虛擬機器記憶體損毀，而且可能導致以虛擬機器權限執行任意程式碼。
(CVE-2013-1478、CVE-2013-1480)

在 AWT 元件的剪貼簿處理程式碼中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過 Java sandbox 限制，而存取剪貼簿資料。(CVE-2013-0432)

預設的 Java 安全性內容組態無法限制對某些 com.sun.xml.internal 套件的存取。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java sandbox 限制，而存取資訊。此更新將整個套件列為受限制。(CVE-2013-0435)

在 JMX、Libraries、Networking 和 JAXP 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2013-0431、CVE-2013-0427、CVE-2013-0433、CVE-2013-0434)

據發現，RMI 元件的 CGIHandler 類別在錯誤訊息中使用使用者輸入，而沒有進行任何清理。攻擊者可利用此瑕疵執行跨網站指令碼 (XSS) 攻擊。
(CVE-2013-0424)

據發現，JSSE 元件中的 SSL/TLS 實作允許無限次重新開始交握，因此無法正確強制執行交握訊息排序。遠端攻擊者可利用此瑕疵，藉由連續重新啟動交握，讓使用 JSSE 的 SSL/TLS 伺服器過度消耗 CPU。
(CVE-2013-0440)

據發現，JSSE 元件無法正確驗證 Diffie-Hellman 公開金鑰。SSL/TLS 用戶端可能利用此瑕疵執行小型子群組攻擊。(CVE-2013-0443)

此 erratum 也會將 OpenJDK 套件升級至 IcedTea7 2.3.5。
請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

遠端主機上安裝的 IBM Notes (前身為 Lotus Notes) 版本為 8.5.3 Fix Pack 5 之前的 8.5.x 版。因此，據報會受到下列弱點影響：

- 隨附的 IBM Java SDK 版本內含具有數個安全性問題的 IBM JRE 版本。(CVE-2013-0809、CVE-2013-1493、CVE-2013-2436、CVE-2013-2455、CVE-2013-3006、CVE-2013-3007、CVE-2013-3008、CVE-2013-3009、CVE-2013-3010、CVE-2013-3011、CVE-2013-3012)

- 另請注意，2013 年 2 月、4 月和 6 月版 Oracle Java CPU 中的修正，皆納入已修正的 IBM Java 版本中，而該 IBM Java 版本則納入已修正的 IBM Notes 版本中。
 (CVE-2012-1541, CVE-2012-3213, CVE-2012-3342, CVE-2013-0351, CVE-2013-0401, CVE-2013-0402, CVE-2013-0409, CVE-2013-0419, CVE-2013-0423, CVE-2013-0424, CVE-2013-0425, CVE-2013-0426, CVE-2013-0427, CVE-2013-0428, CVE-2013-0429, CVE-2013-0430, CVE-2013-0431, CVE-2013-0432, CVE-2013-0433, CVE-2013-0434, CVE-2013-0435, CVE-2013-0437, CVE-2013-0438, CVE-2013-0440, CVE-2013-0441, CVE-2013-0442, CVE-2013-0443, CVE-2013-0444, CVE-2013-0445, CVE-2013-0446, CVE-2013-0448, CVE-2013-0449, CVE-2013-0450, CVE-2013-1473, CVE-2013-1475, CVE-2013-1476, CVE-2013-1478, CVE-2013-1479, CVE-2013-1480, CVE-2013-1481, CVE-2013-1488, CVE-2013-1489, CVE-2013-1491, CVE-2013-1500, CVE-2013-1518, CVE-2013-1537, CVE-2013-1540, CVE-2013-1557, CVE-2013-1558, CVE-2013-1561, CVE-2013-1563, CVE-2013-1564, CVE-2013-1569, CVE-2013-1571, CVE-2013-2383, CVE-2013-2384, CVE-2013-2394, CVE-2013-2400, CVE-2013-2407, CVE-2013-2412, CVE-2013-2414, CVE-2013-2415, CVE-2013-2416, CVE-2013-2417, CVE-2013-2418, CVE-2013-2419, CVE-2013-2420, CVE-2013-2421, CVE-2013-2422, CVE-2013-2423, CVE-2013-2424, CVE-2013-2425, CVE-2013-2426, CVE-2013-2427, CVE-2013-2428, CVE-2013-2429, CVE-2013-2430, CVE-2013-2431, CVE-2013-2432, CVE-2013-2433, CVE-2013-2434, CVE-2013-2435, CVE-2013-2437, CVE-2013-2438, CVE-2013-2439, CVE-2013-2440, CVE-2013-2442, CVE-2013-2443, CVE-2013-2444, CVE-2013-2445, CVE-2013-2446, CVE-2013-2447, CVE-2013-2448, CVE-2013-2449, CVE-2013-2450, CVE-2013-2451, CVE-2013-2452, CVE-2013-2453, CVE-2013-2454, CVE-2013-2456, CVE-2013-2457, CVE-2013-2458, CVE-2013-2459, CVE-2013-2460, CVE-2013-2461, CVE-2013-2462, CVE-2013-2463, CVE-2013-2464, CVE-2013-2465, CVE-2013-2466, CVE-2013-2467, CVE-2013-2468, CVE-2013-2469, CVE-2013-2470, CVE-2013-2471, CVE-2013-2472, CVE-2013-2473, CVE-2013-3743, CVE-2013-3744, CVE-2013-4002)

遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

遠端 Mac OS X 10.7 或 10.8 主機上的 Java Runtime 缺少 Java for OS X 2013-001 更新，其會將 Java 版本更新至 1.6.0_41。因而會受到數個安全性弱點的影響，其中最嚴重的問題甚至可能會導致未受信任的 Java applet，以 Java Sandbox 外的目前使用者權限執行任意程式碼。

java-1_7_0-openjdk 已更新至 icedtea-2.3.6 (bnc#803379)，其中含有多種安全性和錯誤修正：

- 安全性修正：

- S6563318、CVE-2013-0424：RMI 資料清理

- S6664509、CVE-2013-0425：新增記錄內容

- S6664528、CVE-2013-0426：尋找符合建構時所提供之名稱或值的記錄層級

- S6776941：CVE-2013-0427：改善執行緒集區關閉

- S7141694、CVE-2013-0429：改善 CORBA 內部

- S7173145：改善 splashscreen 的記憶體內部表示法

- S7186945：改善 Unpack200

- S7186946：精簡解除封包程式資源使用量

- S7186948：改善 Swing 資料驗證

- S7186952、CVE-2013-0432：改善剪貼簿存取

- S7186954：提升連線效能

- S7186957：改善 Pack200 資料驗證

- S7192392、CVE-2013-0443：改善用戶端金鑰驗證

- S7192393、CVE-2013-0440：改善 TLS 訊息排序檢查

- S7192977、CVE-2013-0442：工具組執行緒的問題

- S7197546、CVE-2013-0428：(proxy) 關於建立反射式 Proxy 的反映

- S7200491：加強 JTable 配置程式碼

- S7200493、CVE-2013-0444：改善快取處理

- S7200499：改善選項的資料驗證

- S7200500：改善啟動器輸入驗證

- S7201064：改善對話方塊檢查

- S7201066、CVE-2013-0441：變更未使用欄位的修飾詞

- S7201068、CVE-2013-0435：改善 UI 元素處理

- S7201070：序列化符合通訊協定

- S7201071、CVE-2013-0433：InetSocketAddress 序列化問題

- S8000210：改善 JarFile 程式碼品質

- S8000537、CVE-2013-0450：將 RequiredModelMBean 類別內容化

- S8000539、CVE-2013-0431：自我檢查 JMX 資料處理

- S8000540、CVE-2013-1475：改善 IIOP 類型重新使用管理

- S8000631、CVE-2013-1476：限制類別建構函式的存取

- S8001235、CVE-2013-0434：改善 JAXP HTTP 的處理

- S8001242：改善 RMI HTTP 合規性

- S8001307：修改 ACC_SUPER 行為

- S8001972、CVE-2013-1478：改善影像處理

- S8002325、CVE-2013-1480：改善影像管理

- 反向移植

- S7057320：
 test/java/util/concurrent/Executors/AutoShutdown.java 會間歇性失敗

- S7083664：TEST_BUG：測試使用 c:/temp 的硬式編碼，但此目錄可能不存在

- S7107613：javax.crypto.CryptoPermissions 中的延展性封鎖程式

- S7107616：javax.crypto.JceSecurityManager 中的延展性封鎖程式

- S7146424：單一項目類別路徑的萬用字元擴充

- S7160609：[macosx] libjvm.dylib 中的 JDK 損毀 ( C [GeForceGLDriver+0x675a] gldAttachDrawable+0x941)

- S7160951：[macosx] 使用 ScreenMenuBar 針對 JMenuItem 呼叫兩次 ActionListener

- S7162488：VM 未列印未知 -XX 選項

- S7169395：因 JDK 7 物件遊走中的變更且無法符合回溯相容性而導致例外狀況擲回

- S7175616：從 JDK 8 到 JDK 7 之 TimeZone 的連接埠修正

- S7176485：(bf) 允許暫存緩衝區快取增加到 IOV_MAX

- S7179908：從 jdk7u7 的 hs22.2 分支 hs23.3 hsx，以及重新初始化版本編號

- S7184326：TEST_BUG：
 java/awt/Frame/7024749/bug7024749.java 有一個錯字

- S7185245：使用人來源套件組合嘗試編譯 JFR

- S7185471：避免在使用相同金鑰 re-init AES 密碼時的金鑰擴充

- S7186371：[macosx] 主功能表捷徑未顯示出來 (7u6 迴歸)

- S7187834：[macosx] 在 macosx 2d 實作中使用私人 API 會造成 Apple Store 拒絕

- S7188114：(啟動器) 針對 Windows 需要一個替代的命令列剖析器

- S7189136：從 jdk7u9 的 hs23.4 分支 hs23.5 hsx，以及重新初始化版本編號

- S7189350：修正 CR 7162144 的失敗

- S7190550：REGRESSION：一些 closed/com/oracle/jfr/api 測試因修正 7185245 而無法編譯

- S7193219：JComboBox 序列化在 JDK 1.7 中失敗

- S7193977：REGRESSION：Java 7 的 JavaBeans 持續性會忽略內容上的 'transient' 旗標

- S7195106：REGRESSION：發佈 Softreference 之後，沒有方法可取得圖示 inf

- S7195301：XML 簽章 DOM 實作不應使用 instanceof 來判斷節點的類型

- S7195931：從 jre7u6+ 使用 NSS 時，PKCS11.C_GetOperationState 上的 UnsatisfiedLinkError

- S7197071：多種安全性供應商的 Makefile 未包含預設資訊清單。

- S7197652：無法執行任何已簽署的 JNLP 應用程式或 applet，OCSP 預設為關閉

- S7198146：其他新迴歸測試不會在 windows-amd64 上編譯

- S7198570：(tz) 支援 tzdata2012f

- S7198640：新增熱點版本 - hs23.6-b04

- S7199488：[TEST] runtime/7158800/InternTest.java 因對 PID 符合的誤判而失敗。

- S7199645：hs23.5 至 b02 的遞增版本編號

- S7199669：針對 CPU 版本重新命名，更新 .hgtags 檔案中的標籤

- S7200720：NTLM 驗證期間，net.dll 中的損毀

- S7200742：(se) Selector.select 在啟動 Coherence 時不會封鎖 (sol11u1)

- S7200762：[macosx] 停滯於 sun.java2d.opengl.CGLGraphicsConfig.getMaxTextureSize(Na tive Method)

- S8000285：PostEventQueue.noEvents、EventQueue.isDispatchThread 和 SwingUtilities.invokeLater 之間的鎖死

- S8000286：[macosx] 檢視會在 DnD 之後一直往回捲動至拖曳位置

- S8000297：REGRESSION：
 closed/java/awt/EventQueue/PostEventOrderingTest.java 失敗

- S8000307：Jre7cert：執行 alt + tab 時，不會針對所有焦點 req 呼叫 focusgained

- S8000822：從 jdk7u11 的 hs23.6 分支 hs23.7 hsx，以及重新初始化版本編號

- S8001124：jdk7u ProblemList.txt 更新 (10/2012)

- S8001242：改善 RMI HTTP 合規性

- S8001808：針對 8000327 建立測試

- S8001876：針對 8000283 建立 regtest

- S8002068：版本損毀：corba 程式碼變更無法使用新 JDK 7 類別

- S8002091：在 Windows 上，tools/launcher/ToolsOpts.java 測試從 7u11 b01 開始失敗

- S8002114：修正 JDK-7160951 的失敗：[macosx] 使用 ScreenMenuBar 針對 JMenuItem 呼叫兩次 ActionListener

- S8002225：(tz) 支援 tzdata2012i

- S8003402：(dc) test/java/nio/channels/DatagramChannel/SendToUnresovled。
 java 在 7u11 清理問題之後失敗

- S8003403：測試 ShortRSAKeyWithinTLS 和 ClientJSSEServerJSSE 在 7u11 清理之後失敗

- S8003948：NTLM/交涉驗證問題

- S8004175：在 java.security 中新增的受限套件會在 java.security-{macosx, solaris, windows} 中遺漏

- S8004302：javax/xml/soap/Test7013971.java 自 jdk6u39b01 以來失敗

- S8004341：兩個 JCK 測試發生 7u11 b06 失敗

- S8005615：Java 記錄器無法載入 tomcat 記錄器實作 (JULI)

- 錯誤修正

- 修正使用零熱點的版本，使所有修補程式都會再次套用。

- PR1295：jamvm 平行解壓縮失敗

- 移除 icedtea-2.3.2-fix-extract-jamvm-dependency.patch

- 移除 icedtea-2.3.3-refresh-6924259-string_offset.patch

- 少數遺漏的 /openjdk/%{origin}/ 變更

This version of Oracle (formerly Sun) Java SE or Java for Business installed on the remote host is 7 Update 11 or earlier and is, therefore, potentially affected by security issues in the following components :

 - 2D

  - AWT

  - Beans

  - CORBA

  - Deployment

  - Install

  - JavaFX

  - JAXP

  - JAX-WS

  - JMX

  - JSSE

  - Libraries

  - Networking

  - RMI

  - Scripting

  - Sound

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
64520	RHEL 5 / 6：java-1.7.0-openjdk (RHSA-2013:0247)	Nessus	Red Hat Local Security Checks	2013/2/10	2022/5/25	critical
70744	IBM Notes 8.5.x < 8.5.3 FP5 多個弱點	Nessus	Windows	2013/11/4	2022/5/25	critical
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical
64537	CentOS 5 / 6：java-1.7.0-openjdk (CESA-2013:0247)	Nessus	CentOS Local Security Checks	2013/2/11	2022/5/25	critical
64700	Mac OS X : Java for OS X 2013-001	Nessus	MacOS X Local Security Checks	2013/2/20	2023/11/27	critical
74907	openSUSE 安全性更新：java-1_7_0-openjdk (openSUSE-SU-2013:0377-1)	Nessus	SuSE Local Security Checks	2014/6/13	2022/5/25	critical
6685	Oracle Java SE 7 <= Update 11 Multiple Vulnerabilities (February 2013 CPU)	Nessus Network Monitor	Web Clients	2012/2/6	2019/3/6	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical