在 OpenJDK (Oracle Java 平台的實作) 中發現數個弱點，可能導致執行任意程式碼、Java Sandbox 遭入侵、資訊洩漏或拒絕服務。

遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 8 Update 11、7 Update 65、6 Update 81、或 5 Update 71 舊。因此，會受到下列元件中的安全性問題影響：

- Deployment
 - Hotspot
 - JavaFX
 - JMX
 - Libraries
 - Security
 - Serviceability
 - Swing

來自 Red Hat 安全性公告 2014:0890：

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 java-1.7.0-openjdk 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.7.0-openjdk 套件提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java Software Development Kit。

據發現，OpenJDK 的熱點元件並未正確驗證來自類別檔案的位元組程式碼。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2014-4216、CVE-2014-4219)

在 OpenJDK 的熱點元件事件記錄器中發現一個格式字串瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器，或可能利用 Java 虛擬機器的權限執行任意程式碼。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-4223、CVE-2014-4262、CVE-2014-2483)

在 OpenJDK 的 JMX、Libraries、Security 和 Serviceability 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-4209、CVE-2014-4218、CVE-2014-4221、CVE-2014-4252、CVE-2014-4266)

據發現，執行使用私密金鑰的作業時，OpenJDK 的 Security 元件中的 RSA 演算法並未徹底執行偽裝。能夠度量那些作業時間差的攻擊者可能會洩漏使用的金鑰相關資訊。(CVE-2014-4244)

OpenJDK 的 Security 元件中的 Diffie-Hellman (DH) 金鑰交換演算法實作無法正確驗證公開 DH 參數。這可能導致 OpenJDK 接受和使用弱式參數，進而允許攻擊者復原交涉金鑰。(CVE-2014-4263)

CVE-2014-4262 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

在遠端主機上安裝的 Java SDK 版本受下列弱點影響：

- IBM Java Virtual Machine 中存在一個權限提升弱點，允許遠端攻擊者執行程式碼，進而提高在安全性管理員內容中的存取權。
 (CVE-2014-3086)

- 資料完整性弱點存在於 Oracle Java 的 Deployment 子元件內。(CVE-2014-4208、CVE-2014-4220、CVE-2014-4265)

- Oracle Java 的 JMX 子元件中存在一個資訊洩漏弱點，允許遠端攻擊者檢視或編輯 SubjectDelegator 類別。(CVE-2014-4209)

- Oracle Java 中存在一個弱點，允許遠端攻擊者透過 Libraries 子元件中「Proxy.java」的瑕疵繞過安全性功能。(CVE-2014-4218)

- Oracle Java 中存在一個弱點，允許透過 Hotspot 子元件中的瑕疵執行遠端程式碼，並傳回不完整的物件。(CVE-2014-4219)

- Oracle Java 的 Libraries 子元件中存在一個資訊洩漏弱點，允許遠端攻擊者檢視敏感資訊。(CVE-2014-4221)

- Oracle Java 中的弱點允許透過 Deployment 子元件中的瑕疵執行遠端程式碼。
 (CVE-2014-4227)

- Oracle Java 的 Security 子元件中存在多個資訊洩漏弱點，允許遠端攻擊者取得敏感資訊，包括使用過的金鑰資訊。(CVE-2014-4244、CVE-2014-4252、CVE-2014-4263)

- Oracle Java 中存在一個弱點，允許透過 Libraries 子元件中的一個記憶體損毀瑕疵執行遠端程式碼。(CVE-2014-4262)

- Oracle Java 的 Serviceability 子元件中存在一個因函式傳回值資料不正確而導致的資料完整性弱點。(CVE-2014-4266)

- Oracle Java 的 Swing 子元件中存在一個資訊洩漏弱點，允許遠端攻擊者檢視檔案內容。(CVE-2014-4268)

遠端主機上安裝的 VMware vCenter Server 版本是 Update 3c 之前的 5.0、 Update 3 之前的5.1 或 Update 2 之前的 5.5。
因此，受到第三方程式庫中多個弱點影響：

- 連線至　ESXi　主機上的　CIM 伺服器時，由於不當驗證憑證，進而讓攻擊者得以執行攔截式攻擊。(CVE-2014-8371)

- 隨附的 Oracle JRE 版本比 1.6.0_81 舊，因此受到多個弱點影響。請注意，雖然只會影響　vCenter　5.1 和 5.0 版，但僅在　5.1 Update 3　中得以修正。

Oracle's July 2014 security update for Java fixes the following vulnerabilities:

  - The Hotspot component in OpenJDK did not properly verify bytecode from the class files, which could allow a Java application or applet to bypass Java sandbox restrictions (CVE-2014-4216, CVE-2014-4219)

  - A format string flaw was discovered in the Hotspot component event logger in OpenJDK, which could be leveraged by an untrusted Java application or applet to crash the Java Virtual Machine or execute arbitrary code with the privileges of the Java Virtual Machine (CVE-2014-2490)

  - Multiple improper permission check issues were discovered in the Libraries component in OpenJDK, which could be leveraged to bypass Java sandbox restrictions (CVE-2014-4223, CVE-2014-4262, CVE-2014-2483)

  - Multiple flaws were discovered in the JMX, Libraries, Security, and Serviceability components in OpenJDK that could be leveraged to bypass certain Java sandbox restrictions (CVE-2014-4209, CVE-2014-4218, CVE-2014-4221, CVE-2014-4252, CVE-2014-4266)

  - The RSA algorithm in the Security component in OpenJDK did not sufficiently perform blinding while performing operations that were using private keys, which could allow an attacker with the ability to measure timing differences of those operations to obtain information about the used keys (CVE-2014-4244)

  - Diffie-Hellman (DH) key exchange algorithm implementation in the Security component in OpenJDK failed to validate public DH parameters properly, which could result in an attacker recovering the negotiated key (CVE-2014-4263)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
76842	Debian DSA-2987-1：openjdk-7 - 安全性更新	Nessus	Debian Local Security Checks	2014/7/26	2021/1/11	high
76532	Oracle Java SE 多個弱點 (2014 年 7 月 CPU)	Nessus	Windows	2014/7/16	2024/12/19	critical
76533	Oracle Java SE 多個弱點 (2014 年 7 月 CPU) (Unix)	Nessus	Misc.	2014/7/16	2022/4/11	critical
76548	Oracle Linux 5 : java-1.7.0-openjdk (ELSA-2014-0890)	Nessus	Oracle Linux Local Security Checks	2014/7/17	2024/10/22	high
77333	AIX Java 公告：java_jul2014_advisory.asc	Nessus	AIX Local Security Checks	2014/8/22	2023/4/21	critical
79865	適用 vCenter Server 的 VMware 安全性更新 (VMSA-2014-0012)	Nessus	Misc.	2014/12/12	2018/11/15	critical
8332	Oracle Java Update (July 2014) Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2014/7/23	2019/3/6	high

检测

插件搜索

high

critical

critical

high

critical

critical

high