現已提供適用於 Red Hat Enterprise Linux 6 的 java-1.8.0-openjdk 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Java-1.8.0-openjdk 套件提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java Software Development Kit。安全性修正：* 在 OpenJDK 的 JCE 元件中發現一個不受信任程式庫搜尋路徑缺陷。本機攻擊者可利用此缺陷造成使用 JCE 的 Java 應用程式載入由攻擊者所控制的程式庫，進而提升其權限。(CVE-2017-3511) * 據發現，OpenJDK 的 JAXP 元件在剖析 XML 文件時，未正確執行剖析樹狀結構大小限制。可以使 Java 應用程式剖析特製 XML 文件的攻擊者，可利用此缺陷來使應用程式消耗過量 CPU 及記憶體。(CVE-2017-3526) * 據發現，OpenJDK 的 Networking 元件中的 HTTP 用戶端實作會快取並重複使用不同安全性內容中的 NTLM 驗證連線。遠端攻擊者可利用此缺陷，使 Java 應用程式執行用不同使用者的憑證驗證的 HTTP要求。(CVE-2017-3509) 注意：此更新新增了「jdk.ntlm.cache」系統屬性支援，將之設定為 false 時，可防止快取 NTLM 連線及驗證，因而避免此問題發生。不過，快取作業仍預設為啟用狀態。* 據發現，OpenJDK 的 Security 元件未允許使用者限制允許用於 Jar 完整性驗證的演算法集。攻擊者可利用此缺陷修改使用弱簽署金鑰或雜湊演算法的 Jar 檔案內容。(CVE-2017-3539) 注意：此更新擴大了 CVE-2016-5542 (RHSA-2016:2079 勘誤的一部份) 的修正內容：在 Jar 完整性驗證期間，不再允許 MD5 雜湊演算法 (把 MD5 新增到 jdk.jar.disabledAlgorithms 安全性屬性中)。* 在 OpenJDK 的 Networking 元件中，發現 FTP 和 SMTP 用戶端實作裡存在新行注入缺陷。遠端攻擊者可利用這些缺陷操控 Java 應用程式所建立的 FTP 或 SMTP 連線。(CVE-2017-3533、CVE-2017-3544) 注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能會在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 6 Update 151、7 Update 141 或 8 Update 131 舊。因此，會受到多個弱點影響：- Networking 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者影響機密性和完整性。(CVE-2017-3509) - JCE 子元件中存在不明缺陷，其允許本機攻擊者取得提升的權限。此弱點不會影響 Java SE 版本 6。(CVE-2017-3511) - AWT 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者執行任意程式碼。此弱點不會影響 Java SE 版本 6。(CVE-2017-3512) - AWT 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者執行任意程式碼。(CVE-2017-3514) - JAXP 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者造成拒絕服務情形。(CVE-2017-3526) - Networking 子元件中存在多個不明缺陷，其允許未經驗證的遠端攻擊者取得更新、插入或刪除對未授權資料的存取權限。(CVE-2017-3533、CVE-2017-3544) - Security 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者取得更新、插入或刪除對未授權資料的存取權限。(CVE-2017-3539)

現已提供適用於 Red Hat Enterprise Linux 6 Supplementary 和 Red Hat Enterprise Linux 7 Supplementary 的 java-1.8.0-ibm 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。IBM Java SE 版本 8 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。此更新會將 IBM Java SE 8 升級至 8 SR4-FP5 版。安全性修正：* 此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的多個弱點。有關這些缺陷的進一步資訊，請查閱〈參照〉一節所列的「IBM Java 安全性弱點」頁面連結內容。(CVE-2016-9840、CVE-2016-9841、CVE-2016-9842、CVE-2016-9843、CVE-2017-1289、CVE-2017-3509、CVE-2017-3511、CVE-2017-3533、CVE-2017-3539、CVE-2017-3544)

遠端主機受到 GLSA-201707-01 中所述的弱點影響 (IcedTea：多個弱點) 在 IcedTea 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。注意：如果已安裝 dev-java/icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能會在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。影響：遠端攻擊者可能以處理程序的權限執行任意程式碼、取得存取資訊的權限，或造成拒絕服務情況。因應措施：目前尚無已知的因應措施。

The version of Oracle Java SE installed on the remote host is prior to 6 Update 151, 7 Update 141, or 8 Update 131, and is therefore affected by multiple vulnerabilities :

  - An unspecified flaw exists in the Networking subcomponent that allows an unauthenticated, remote attacker to impact confidentiality and integrity. (CVE-2017-3509)
  - An unspecified flaw exists in the JCE subcomponent that allows a local attacker to gain elevated privileges. This vulnerability does not affect Java SE version 6. (CVE-2017-3511)
  - An unspecified flaw exists in the AWT subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. This vulnerability does not affect Java SE version 6. (CVE-2017-3512)
  - An unspecified flaw exists in the AWT subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-3514)
  - An unspecified flaw exists in the JAXP subcomponent that allows an unauthenticated, remote attacker to cause a denial of service condition. (CVE-2017-3526)
  - Multiple unspecified flaws exist in the Networking subcomponent that allow an unauthenticated, remote attacker to gain update, insert, or delete access to unauthorized data. (CVE-2017-3533, CVE-2017-3544)
  - An unspecified flaw exists in the Security subcomponent that allows an unauthenticated, remote attacker to gain update, insert, or delete access to unauthorized data. (CVE-2017-3539)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
99574	RHEL 6：java-1.8.0-openjdk (RHSA-2017:1109)	Nessus	Red Hat Local Security Checks	2017/4/21	2025/3/24	high
99588	Oracle Java SE 多個弱點 (2017 年 4 月 CPU)	Nessus	Windows	2017/4/21	2025/2/18	critical
100117	RHEL 6 / 7：java-1.8.0-ibm (RHSA-2017:1220)	Nessus	Red Hat Local Security Checks	2017/5/11	2019/10/24	critical
101248	GLSA-201707-01：IcedTea：多個弱點	Nessus	Gentoo Local Security Checks	2017/7/6	2021/1/11	critical
700090	Oracle Java SE 6 < Update 151 / 7 < Update 141 / 8 < Update 131 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2017/5/10	2019/3/6	high

检测

插件搜索

high

critical

critical

critical

high