在 eclipse 中发现并修正了一个漏洞：

在 3.6.2 之前的 Eclipse IDE 中，帮助内容 Web 应用程序（即 Help Server）内的多个跨站脚本 (XSS) 漏洞可让远程攻击者通过查询字符串，将任意 Web 脚本或 HTML 注入 (1) help/index.jsp 或 (2) help/advanced/content.jsp 中 (CVE-2010-4647)。

自扩展维护计划起，提供适用于 2009.0 的程序包。请访问此链接以了解更多信息：http://store.mandriva.com/product_info.php?cPath=149products_id=490

更新后的程序包已进行修补，以修正此问题。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2011:0568 公告中提及的漏洞影响。

    Eclipse 软件开发环境提供一组用于 C/C++ 和 Java 开发的工具。

    在 Eclipse 帮助内容 Web 应用程序中发现跨站脚本 (XSS) 缺陷。攻击者可利用此缺陷诱骗受害者访问特别构建的 Eclipse 帮助 URL，针对他们进行跨站脚本攻击。(CVE-2010-4647)

    以下 Eclipse 程序包已升级到官方上游 Eclipse Helios SR1 发行版中的版本，与以前的版本相比提供很多缺陷补丁和增强：

    * eclipse 升级到 3.6.1。(BZ#656329)
    * eclipse-cdt 升级到 7.0.1。(BZ#656333)
    * eclipse-birt 升级到 2.6.0。(BZ#656391)
    * eclipse-emf 升级到 2.6.0。(BZ#656344)
    * eclipse-gef 升级到 3.6.1。(BZ#656347)
    * eclipse-mylyn 升级到 3.4.2。(BZ#656337)
    * eclipse-rse 升级到 3.2。(BZ#656338)
    * eclipse-dtp 升级到 1.8.1。(BZ#656397)
    * eclipse-changelog 升级到 2.7.0。(BZ#669499)
    * eclipse-valgrind 升级到 0.6.1。(BZ#669460)
    * eclipse-callgraph 升级到 0.6.1。(BZ#669462)
    * eclipse-oprofile 升级到 0.6.1。(BZ#670228)
    * eclipse-linuxprofilingframework 升级到 0.6.1。(BZ#669461)

    此外，对上述 Eclipse 程序包的依存关系进行了以下更新：

    * icu4j 升级到 4.2.1。(BZ#656342)
    * sat4j 升级到 2.2.0。(BZ#661842)
    * objectweb-asm 更新到 3.2。(BZ#664019)
    * jetty-eclipse 升级到 6.1.24。(BZ#661845)

    此更新包含大量上游缺陷补丁和增强，例如：

    * Eclipse IDE 和 Java 开发工具 (JDT)：

    - 项目和文件夹可以过滤工作区中的资源。
    - 支持新的虚拟文件夹和链接文件。
    - 现在支持 UNIX 文件权限的完整集合。
    - 添加了停止按钮，可取消运行时间很长的向导任务。
    - 悬停在问题上时，Java 编辑器现在显示多个快速修复。
    - 对运行 JUnit 版本 4 测试的全新支持。
    - 200 多个上游缺陷补丁。

    * Eclipse C/C++ Development Tooling (CDT)：

    - 添加了新的 Codan 框架用于静态代码分析。
    - 重构改进，例如存储重构历史记录。
    - 现在会在构建控制台中突出显示编译和构建错误。
    - 切换到新的 DSF 调试程序框架。
    - 新模板视图支持。
    - 600 多个上游缺陷补丁。

    此更新还修复以下缺陷：

    * 修复了“Help Contents”窗口中用于 GNU 工具的错误 URI。(BZ#622713)

    * 如果 Eclipse 项目不在 Eclipse 工作区中，则二进制文件的配置不起作用。此更新针对外部项目配置添加了自动测试，从而修正了此问题。(BZ#622867)

    * Eclipse 中运行的 C/C++ 应用程序成功终止，但在 Error Log 窗口中返回了一个与应用程序本身不相关的 I/O 异常。通过此更新，不会再返回异常。
    (BZ#668890)

    * eclipse-mylyn 程序包显示 20100916-0100-e3x 限定符。限定符已被修改为 v20100902-0100-e3x 以匹配 eclipse-mylyn 的上游版本。(BZ#669819)

    * 由于程序包中的一个缺陷，安装 eclipse-mylyn 程序包失败，并返回了 Resource temporarily unavailable 错误消息。此更新修复了此缺陷，并且安装现在可以正常工作。(BZ#673174)

    * 构建 eclipse-cdt 程序包可能因与本地文件系统的错误交互而失败。与本地文件系统的交互现在将被阻止，并且构建不会再失败。(BZ#678364)

    * eclipse-cdt 程序包提供的 libhover 插件使用二进制数据搜索悬停主题。数据位置是在外部以 URL 的形式指定的，这可在没有 Internet 访问权限的系统上造成异常。此更新修改了插件，使其从本地位置拉取所需数据。(BZ#679543)

    Eclipse 用户应升级这些更新后的程序包，其中修正了这些问题并添加这些增强。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Eclipse 软件开发环境提供一组用于 C/C++ 和 Java 开发的工具。

在 Eclipse 帮助内容 Web 应用程序中发现跨站脚本 (XSS) 缺陷。攻击者可利用此缺陷诱骗受害者访问特殊构建的 Eclipse 帮助 URL，针对他们进行跨站脚本攻击。(CVE-2010-4647)

以下 Eclipse 程序包已升级到官方上游 Eclipse Helios SR1 发行版中的版本，与以前的版本相比提供很多缺陷补丁和增强：

- eclipse 升级到 3.6.1。

- eclipse-cdt 升级到 7.0.1。

- eclipse-birt 升级到 2.6.0。

- eclipse-emf 升级到 2.6.0。

- eclipse-gef 升级到 3.6.1。

- eclipse-mylyn 升级到 3.4.2。

- eclipse-rse 升级到 3.2。

- eclipse-dtp 升级到 1.8.1。

- eclipse-changelog 升级到 2.7.0。

- eclipse-valgrind 升级到 0.6.1。

- eclipse-callgraph 升级到 0.6.1。

- eclipse-oprofile 升级到 0.6.1。

- eclipse-linuxprofilingframework 升级到 0.6.1。

此外，对上述 Eclipse 程序包的依存关系进行了以下更新：

- icu4j 至 4.2.1。

- sat4j 至 2.2.0。

- objectweb-asm 更新到 3.2。

- jetty-eclipse 更新到 6.1.24。

此更新包含大量上游缺陷补丁和增强，例如：

- Eclipse IDE 和 Java 开发工具 (JDT)：

- 项目和文件夹可以过滤工作区中的资源。

- 支持新的虚拟文件夹和链接文件。

- 现在支持 UNIX 文件权限的完整集合。

- 添加了停止按钮，可取消运行时间很长的向导任务。

- 悬停在问题上时，Java 编辑器现在显示多个快速修复。

- 对运行 JUnit 版本 4 测试的全新支持。

- 200 多个上游缺陷补丁。

- Eclipse C/C++ Development Tooling (CDT)：

- 添加了新的 Codan 框架用于静态代码分析。

- 重构改进，例如存储重构历史记录。

- 现在会在构建控制台中突出显示编译和构建错误。

- 切换到新的 DSF 调试程序框架。

- 新模板视图支持。

- 600 多个上游缺陷补丁。

此更新还修复以下缺陷：

- 修复了“Help Contents”窗口中用于 GNU 工具的错误 URI。

- 如果 Eclipse 项目不在 Eclipse 工作区中，则二进制文件的配置不起作用。此更新针对外部项目配置添加了自动测试，从而修正了此问题。

- 在 Eclipse 中运行 C/C++ 应用程序已成功终止，但在 Error Log 窗口中返回与应用程序本身不相关的 I/O 异常。通过此更新，不会再返回异常。

- eclipse-mylyn 程序包显示“20100916-0100-e3x”限定符。限定符已被修改为“v20100902-0100-e3x”以匹配 eclipse-mylyn 的上游版本。

- 由于打包中的一个缺陷，安装 eclipse-mylyn 程序包失败并返回“Resource temporarily unavailable”错误消息。此更新修复了此缺陷，并且安装现在可以正常工作。

- 构建 eclipse-cdt 程序包可能因与本地文件系统的错误交互而失败。
 与本地文件系统的交互现在将被阻止，并且构建不会再失败。

- eclipse-cdt 程序包提供的 libhover 插件使用二进制数据来搜索悬停主题。
 数据位置是在外部以 URL 的形式指定的，这可在没有 Internet 访问权限的系统上造成异常。此更新修改了插件，使其从本地位置拉取所需数据。

Eclipse 用户应升级这些更新后的程序包，其中修正了这些问题并添加这些增强。

远程 Oracle Linux 6 主机上安装的程序包受到 ELSA-2011-0568 公告中提及的漏洞的影响。

  - 在 3.6.2 之前的 Eclipse IDE 中，帮助内容 Web 应用程序（即 Help Server）内的多个跨站脚本 (XSS) 漏洞可让远程攻击者通过查询字符串，将任意 Web 脚本或 HTML 注入 (1) help/index.jsp 或 (2) help/advanced/content.jsp。(CVE-2010-4647)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 3.6.2 之前的 Eclipse IDE 中，帮助内容 Web 应用程序（即 Help Server）内的多个跨站脚本 (XSS) 漏洞可让远程攻击者通过查询字符串，将任意 Web 脚本或 HTML 注入 (1) help/index.jsp 或 (2) help/advanced/content.jsp。(CVE-2010-4647)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
52041	Mandriva Linux 安全公告：eclipse (MDVSA-2011:032)	Nessus	Mandriva Local Security Checks	2011/2/21	2021/1/6	medium
54595	RHEL 6 : eclipse (RHSA-2011:0568)	Nessus	Red Hat Local Security Checks	2011/5/20	2025/3/20	medium
61040	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 eclipse	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
181063	Oracle Linux 6：eclipse (ELSA-2011-0568)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	medium
217400	Linux Distros 未修补的漏洞: CVE-2010-4647	Nessus	Misc.	2025/3/3	2025/3/3	medium

检测

插件搜索

medium

medium

medium

medium

medium