远程主机上安装的 Oracle（旧称 Sun）Java SE 或 Java for Business 的版本低于 8 Update 51、7 Update 85 或 6 Update 101。因此，它受到以下组件中的安全漏洞影响：

- 2D
 - CORBA
 - Deployment
 - Hotspot
 - Install
 - JCE
 - JMX
 - JNDI
 - JSSE
 - Libraries
 - RMI
 - Security

根据其自我报告的版本号，远程装置上运行的 Junos Space 版本低于 15.1R2。因此，它受到多种漏洞的影响：

- Oracle Java Runtime 的 JCE 组件中存在一个缺陷，这是因为使用非常数时间比较的各种加密操作所导致。未经认证的远程攻击者可利用此缺陷，通过时序攻击泄露潜在的敏感信息。
 (CVE-2015-2601)

- Oracle Java Runtime 的 JCE 组件的 ECDH_Derive() 函数中存在一个缺陷，这是因为执行 ECDH 密钥派生时缺少 EC 参数验证所导致。远程攻击者可利用此缺陷泄露潜在的敏感信息。
 (CVE-2015-2613)

- Oracle Java Runtime 的 JSSE 组件中存在一个与执行 X.509 证书身份检查有关的缺陷，其允许远程攻击者泄露潜在的敏感信息。(CVE-2015-2625)

- 在 GCM 模式下使用块密码来执行加密时，Oracle Java Runtime 的 Security 组件中存在一个与 GCM (Galois Counter Mode) 实现相关的空指针取消引用缺陷。
 未经认证的远程攻击者可利用此缺陷造成拒绝服务。(CVE-2015-2659)

- 由于在初始化阶段中，状态数据与使用 RC4 加密算法的密钥数据组合不当，存在安全功能绕过漏洞，也称 Bar Mitzvah。中间人攻击者能够利用此漏洞，使用 LSB 值发动暴力破解，以解密流量。(CVE-2015-2808)

- 由于 SSL/TLS 协议中的缺陷，存在中间人漏洞，也称为 Logjam。远程攻击者可利用此缺陷，使用临时 Diffie-Hellman 密钥交换将连接降级至 512 位出口级加密。(CVE-2015-4000)

- 处理未指定“nextUpdate”日期的在线证书状态协议 (OCSP) 响应时，Oracle Java Runtime 的 Security 组件中存在一个缺陷。远程攻击者可利用此缺陷，造成系统接受已撤销的 X.509 证书。
 (CVE-2015-4748)

- Oracle Java Runtime 的 JNDI 组件的 DnsClient::query() 函数中存在一个缺陷，这是因为 DnsClient 异常处理失败而释放请求信息所导致。未经认证的远程攻击者可利用此缺陷造成拒绝服务。
 (CVE-2015-4749)

更新后的 java-1.8.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。

发现 2D、CORBA、JMX、Libraries 以及 OpenJDK 的 RMI 组件中存在多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733）

在 OpenJDK Libraries 组件验证在线证书状态协议 (OCSP) 响应的方式中发现一个缺陷。未能正确处理 nextUpdate 日期不明的 OCSP 响应，原因是其具有无限有效性，从而可能导致将已撤销的 X.509 证书解释为有效。(CVE-2015-4748)

已发现 OpenJDK 中的 JCE 组件在多种情况下未能使用常量时间比较。攻击者可能利用此缺陷，使用非常量时间比较测量用于执行操作的时间，从而泄露敏感信息。(CVE-2015-2601)

已发现 OpenJDK 安全组件中的 GCM（Galois 计数器模式）实现未能正确执行空值检查。此问题可能导致，当应用程序在 GCM 模式下使用块密码执行加密时，Java 虚拟机发生崩溃。
(CVE-2015-2659)

在 RC4 加密算法中发现一个缺陷。使用特定密钥进行 RC4 加密时，攻击者可能在不知晓加密密钥的情况下获取加密文本的部分纯文本。(CVE-2015-2808)

注意：通过此更新，OpenJDK 现在可以默认禁用 RC4 TLS/SSL 加密套件以解决 CVE-2015-2808 问题。有关此更改的更多详细信息，请参阅链接到“参考”部分的 Red Hat Bugzilla 缺陷 1207101。

发现 TLS 协议构建 Diffie-Hellman (DH) 密钥交换的方式中存在缺陷。中间人攻击者能够利用此缺陷在密钥交换期间强制使用弱 512 位出口级密钥，允许其解密所有流量。
(CVE-2015-4000)

注意：此更新强制 OpenJDK 中的 TLS/SSL 实现拒绝大小在 768 位以下的 DH 密钥，从而避免会话降级至出口级密钥。有关此更改的更多详细信息，请参阅链接到“参考”部分的 Red Hat Bugzilla 缺陷 1223211。

现已发现 OpenJDK 中的 JNDI 组件未能正确处理 DNS 解析。攻击者可能触发 DNS 错误并导致 Java 应用程序使用 JNDI 消耗内存和 CPU 时间，并进一步阻碍 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 组件中发现多种信息泄漏缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。
（CVE-2015-2621、CVE-2015-2632）

在建立到 IP 地址识别主机的 TLS/SSL 连接时，OpenJDK JSSE 组件执行 X.509 证书身份验证的方式中发现一个缺陷。在某些情况下，如果发布证书对应主机名为 IP 地址解析结果，而不是 IP 地址，则可能将证书视为有效并接受证书。
(CVE-2015-2625)

在 OpenJDK 的 Hotspot 组件创建性能统计数据和错误日志文件的方式中发现多种不安全的临时文件使用问题。本地攻击者可能通过符号链接攻击，令使用 OpenJDK 的受害者覆盖任意文件。注意：该问题此前在 CVE-2015-0383 中已得到修复，但 RHSA-2015:0809 公告退回了修复。(CVE-2015-3149)

建议所有 java-1.8.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2015:1228 公告中提及的多个漏洞影响。

    java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。

    在 2D、CORBA、JMX、Libraries 以及 OpenJDK 的 RMI 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。(CVE-2015-4760, CVE-2015-2628, CVE-2015-4731, CVE-2015-2590, CVE-2015-4732, CVE-2015-4733)

    在 OpenJDK Libraries 组件验证在线证书状态协议 (OCSP) 响应的方式中发现一个缺陷。未能正确处理 nextUpdate 日期不明的 OCSP 响应，原因是其具有无限有效性，从而可能导致将已撤销的 X.509 证书解释为有效。(CVE-2015-4748)

    已发现 OpenJDK 中的 JCE 组件在多种情况下未能使用常量时间比较。攻击者可能利用此缺陷，使用非常量时间比较测量用于执行操作的时间，从而泄露敏感信息。
    (CVE-2015-2601)

    已发现 OpenJDK 安全组件中的 GCM（Galois 计数器模式）实现未能正确执行空值检查。
    此问题可能导致，当应用程序在 GCM 模式下使用块密码执行加密时，Java 虚拟机发生崩溃。(CVE-2015-2659)

    在 RC4 加密算法中发现一个缺陷。使用特定密钥进行 RC4 加密时，攻击者可能在不知晓加密密钥的情况下获取加密文本的部分纯文本。
    (CVE-2015-2808)

    注意：通过此更新，OpenJDK 现在可以默认禁用 RC4 TLS/SSL 加密套件以解决 CVE-2015-2808 问题。有关此更改的更多详细信息，请参阅链接到“参考”部分的 Red Hat Bugzilla 缺陷 1207101。

    发现 TLS 协议构建 Diffie-Hellman (DH) 密钥交换的方式中存在缺陷。中间人攻击者能够利用此缺陷在密钥交换期间强制使用弱 512 位出口级密钥，允许其解密所有流量。(CVE-2015-4000)

    注意：此更新强制 OpenJDK 中的 TLS/SSL 实现拒绝大小在 768 位以下的 DH 密钥，从而避免会话降级至出口级密钥。有关此更改的更多详细信息，请参阅链接到“参考”部分的 Red Hat Bugzilla 缺陷 1223211。

    现已发现 OpenJDK 中的 JNDI 组件未能正确处理 DNS 解析。攻击者可能触发 DNS 错误并导致 Java 应用程序使用 JNDI 消耗内存和 CPU 时间，并进一步阻碍 DNS 解析。(CVE-2015-4749)

    在 OpenJDK 的 JMX 和 2D 组件中发现多种信息泄漏缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。(CVE-2015-2621, CVE-2015-2632)

    在建立到 IP 地址识别主机的 TLS/SSL 连接时，OpenJDK JSSE 组件执行 X.509 证书身份验证的方式中发现一个缺陷。在某些情况下，如果发布证书对应主机名为 IP 地址解析结果，而不是 IP 地址，则可能将证书视为有效并接受证书。(CVE-2015-2625)

    在 OpenJDK 的 Hotspot 组件创建性能统计数据和错误日志文件的方式中发现多种不安全的临时文件使用问题。本地攻击者可能通过符号链接攻击，令使用 OpenJDK 的受害者覆盖任意文件。注意：该问题此前在 CVE-2015-0383 中已得到修复，但 RHSA-2015:0809 公告退回了修复。(CVE-2015-3149)

    建议所有 java-1.8.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，更新才能生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 java-1.8.0-oracle 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7 的 Oracle Java。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Oracle Java SE 版本 8 包括 Oracle Java Runtime Environment 和 Oracle Java 软件开发工具包。

此更新修复了 Oracle Java Runtime Environment 和 Oracle Java 软件开发工具包中的多个漏洞。有关这些缺陷的更多信息，请参阅“参考”部分的“Oracle Java SE 关键修补程序更新公告”页面。
（CVE-2015-2590、CVE-2015-2601、CVE-2015-2613、CVE-2015-2619、CVE-2015-2621、CVE-2015-2625、CVE-2015-2627、CVE-2015-2628、CVE-2015-2632、CVE-2015-2637、CVE-2015-2638、CVE-2015-2659、CVE-2015-2664、CVE-2015-2808、CVE-2015-4000、CVE-2015-4729、CVE-2015-4731、CVE-2015-4732、CVE-2015-4733、CVE-2015-4736、CVE-2015-4748、CVE-2015-4749、CVE-2015-4760）

注意：通过此更新，Oracle JDK 现在可以默认禁用 RC4 TLS/SSL 加密套件以解决 CVE-2015-2808 问题。有关此更改的更多详细信息，请参阅链接到“参考”部分的 Red Hat Bugzilla 缺陷 1207101。

注意：此更新强制 Oracle JDK 中的 TLS/SSL 客户端实现拒绝大小在 768 位以下的 DH 密钥，以解决 CVE-2015-4000 问题。有关此更改的更多详细信息，请参阅链接到“参考”部分的 Red Hat Bugzilla 缺陷 1223211。

建议所有 java-1.8.0-oracle 用户升级这些更新后的程序包，其中提供了 Oracle Java 8 Update 51 并解决了这些问题。必须重新启动所有正在运行的 Oracle Java 实例，才能使更新生效。

OpenJDK 已更新到 2.6.1 - OpenJDK 8u51，修复了安全问题和缺陷。

修复了以下漏洞：

- CVE-2015-2590：这一漏洞存在于 Libraries 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

- CVE-2015-2597：这一漏洞存在于 Install 组件中，很容易被利用，攻击者需要登录操作系统。
 成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

- CVE-2015-2601：这一漏洞存在于 JCE 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致对部分 Java 可访问数据的未授权读取访问。

- CVE-2015-2613：这一漏洞存在于 JCE 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致对部分 Java SE、Java SE 嵌入可访问数据的未授权读取访问。

- CVE-2015-2619：这一漏洞存在于 2D 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致对部分 Java 可访问数据的未授权读取访问。

- CVE-2015-2621：这一漏洞存在于 JMX 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致对部分 Java 可访问数据的未授权读取访问。

- CVE-2015-2625：这一漏洞存在于 JSSE 组件中，非常难被利用，攻击者可在未经认证的情况下通过 SSL/TLS 成功实施网络攻击。成功攻击此漏洞可导致对部分 Java 可访问数据的未授权读取访问。

- CVE-2015-2627：这一漏洞存在于 Install 组件中，非常难被利用，攻击者可在未经认证的情况下通过多个协议成功实施网络攻击。
 成功攻击此漏洞可导致对部分 Java 可访问数据的未授权读取访问。

- CVE-2015-2628：这一漏洞存在于 CORBA 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

- CVE-2015-2632：这一漏洞存在于 2D 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致对部分 Java 可访问数据的未授权读取访问。

- CVE-2015-2637：这一漏洞存在于 2D 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致对部分 Java 可访问数据的未授权读取访问。

- CVE-2015-2638：这一漏洞存在于 2D 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

- CVE-2015-2659：这一漏洞存在于 Security 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞，可造成未经授权操作，从而导致部分拒绝服务（部分 DOS）。

- CVE-2015-2664：这一漏洞存在于 Deployment 组件中，很难被利用，攻击者需要登录操作系统。成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

- CVE-2015-2808：这一漏洞存在于 JSSE 组件中，非常难被利用，攻击者可在未经认证的情况下通过 SSL/TLS 成功实施网络攻击。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除 Java 可访问数据的访问权限，以及部分 Java 可访问数据的读取权限。

- CVE-2015-4000：这一漏洞存在于 JSSE 组件中，非常难被利用，攻击者可在未经认证的情况下通过 SSL/TLS 成功实施网络攻击。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除 Java 可访问数据的访问权限，以及部分 Java 嵌入可访问数据的未授权读取访问。

- CVE-2015-4729：这一漏洞存在于 Deployment 组件中，非常难被利用，攻击者可在未经认证的情况下通过多个协议成功实施网络攻击。
 成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除 Java SE 可访问数据的访问权限，以及部分 Java SE 可访问数据的读取权限。

- CVE-2015-4731：这一漏洞存在于 JMX 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

- CVE-2015-4732：这一漏洞存在于 Libraries 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

- CVE-2015-4733：这一漏洞存在于 RMI 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

- CVE-2015-4736：这一漏洞存在于 Deployment 组件中，很难被利用，攻击者可在未经认证的情况下通过多个协议成功实施网络攻击。成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

- CVE-2015-4748：这一漏洞存在于 Security 组件中，非常难被利用，攻击者可在未经认证的情况下通过 OCSP 成功实施网络攻击。成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

- CVE-2015-4749：这一漏洞存在于 JNDI 组件中，很难被利用，攻击者可在未经认证的情况下通过多个协议成功实施网络攻击。成功攻击此漏洞，可造成未经授权操作，从而导致部分拒绝服务（部分 DOS）。

- CVE-2015-4760：这一漏洞存在于 2D 组件中，很容易被利用，攻击者可在未经认证的情况下通过多个协议，成功实施网络攻击。成功攻击此漏洞可导致未授权的接管操作系统，包括执行任意代码。

远程主机受到 GLSA-201603-11 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

Oracle 的 JRE 和 JDK 中存在多种漏洞。如需进一步了解，请查阅 CVE 参考信息。
 影响：

远程攻击者可获取信息的访问权限、从远程执行任意代码，并造成拒绝服务。
 变通方案：

目前无任何已知的变通方案。

远程 Oracle Linux 6 / 7 主机上安装的程序包受到 ELSA-2015-1228 公告中提及的多个漏洞的影响。

    [1:1.8.0.51-1.b16]
    - 为 2015 年 1 月 java.security 更新添加 md5sum，以此进行更新。
    - 已解决：rhbz#1235162

    [1:1.8.0.51-0.b16]
    - u51b16 的 2015 年 7 月安全更新。
    - 添加用于从本地 Mercurial 树生成 OpenJDK tarball 的脚本。
    - 为补丁添加 %{name} 前缀以避免与 OpenJDK 7 版本发生冲突。
    - 添加针对 IcedTea 2.x 和/或即将推出的 u60 中已修复的 RH 问题的补丁。
    - 使用“openjdk”作为目录前缀，以允许补丁与 IcedTea 互换。
    - 在更改 CPU DH 后重新生成 EC 禁用补丁。
    - 已解决：rhbz#1235162

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

发现 2D、CORBA、JMX、Libraries 以及 OpenJDK 的 RMI 组件中存在多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733）

在 OpenJDK Libraries 组件验证在线证书状态协议 (OCSP) 响应的方式中发现一个缺陷。未能正确处理 nextUpdate 日期不明的 OCSP 响应，原因是其具有无限有效性，从而可能导致将已撤销的 X.509 证书解释为有效。(CVE-2015-4748)

已发现 OpenJDK 中的 JCE 组件在多种情况下未能使用常量时间比较。攻击者可能利用此缺陷，使用非常量时间比较测量用于执行操作的时间，从而泄露敏感信息。(CVE-2015-2601)

已发现 OpenJDK 安全组件中的 GCM（Galois 计数器模式）实现未能正确执行空值检查。此问题可能导致，当应用程序在 GCM 模式下使用块密码执行加密时，Java 虚拟机发生崩溃。
(CVE-2015-2659)

在 RC4 加密算法中发现一个缺陷。使用特定密钥进行 RC4 加密时，攻击者可能在不知晓加密密钥的情况下获取加密文本的部分纯文本。(CVE-2015-2808)

发现 TLS 协议构建 Diffie-Hellman (DH) 密钥交换的方式中存在缺陷。中间人攻击者能够利用此缺陷在密钥交换期间强制使用弱 512 位出口级密钥，允许其解密所有流量。
(CVE-2015-4000)

现已发现 OpenJDK 中的 JNDI 组件未能正确处理 DNS 解析。攻击者可能触发 DNS 错误并导致 Java 应用程序使用 JNDI 消耗内存和 CPU 时间，并进一步阻碍 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 组件中发现多种信息泄漏缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。
（CVE-2015-2621、CVE-2015-2632）

在建立到 IP 地址识别主机的 TLS/SSL 连接时，OpenJDK JSSE 组件执行 X.509 证书身份验证的方式中发现一个缺陷。在某些情况下，如果发布证书对应主机名为 IP 地址解析结果，而不是 IP 地址，则可能将证书视为有效并接受证书。
(CVE-2015-2625)

在 OpenJDK 的 Hotspot 组件创建性能统计数据和错误日志文件的方式中发现多种不安全的临时文件使用问题。本地攻击者可能通过符号链接攻击，令使用 OpenJDK 的受害者覆盖任意文件。注意：该问题此前在 CVE-2015-0383 中已得到修复，但 SLSA-2015:0809 公告退回了修复。(CVE-2015-3149)

必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

发现 2D、CORBA、JMX、Libraries 以及 OpenJDK 的 RMI 组件中存在多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733）

在 OpenJDK Libraries 组件验证在线证书状态协议 (OCSP) 响应的方式中发现一个缺陷。未能正确处理 nextUpdate 日期不明的 OCSP 响应，原因是其具有无限有效性，从而可能导致将已撤销的 X.509 证书解释为有效。(CVE-2015-4748)

已发现 OpenJDK 中的 JCE 组件在多种情况下未能使用常量时间比较。攻击者可能利用此缺陷，使用非常量时间比较测量用于执行操作的时间，从而泄露敏感信息。(CVE-2015-2601)

已发现 OpenJDK 安全组件中的 GCM（Galois 计数器模式）实现未能正确执行空值检查。此问题可能导致，当应用程序在 GCM 模式下使用块密码执行加密时，Java 虚拟机发生崩溃。
(CVE-2015-2659)

在 RC4 加密算法中发现一个缺陷。使用特定密钥进行 RC4 加密时，攻击者可能在不知晓加密密钥的情况下获取加密文本的部分纯文本。(CVE-2015-2808)

请注意，通过此更新，OpenJDK 现在可以默认禁用 RC4 TLS/SSL 加密套件以解决 CVE-2015-2808 问题。

发现 TLS 协议构建 Diffie-Hellman (DH) 密钥交换的方式中存在缺陷。中间人攻击者能够利用此缺陷在密钥交换期间强制使用弱 512 位出口级密钥，允许其解密所有流量。
(CVE-2015-4000)

请注意，此更新强制 OpenJDK 中的 TLS/SSL 客户端实现拒绝大小在 768 位以下的 DH 密钥，从而避免会话降级至出口级密钥。

现已发现 OpenJDK 中的 JNDI 组件未能正确处理 DNS 解析。攻击者可能触发 DNS 错误并导致 Java 应用程序使用 JNDI 消耗内存和 CPU 时间，并进一步阻碍 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 组件中发现多种信息泄漏缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。
（CVE-2015-2621、CVE-2015-2632）

在建立到 IP 地址识别主机的 TLS/SSL 连接时，OpenJDK JSSE 组件执行 X.509 证书身份验证的方式中发现一个缺陷。在某些情况下，如果发布证书对应主机名为 IP 地址解析结果，而不是 IP 地址，则可能将证书视为有效并接受证书。
(CVE-2015-2625)

在 OpenJDK 的 Hotspot 组件创建性能统计数据和错误日志文件的方式中发现多种不安全的临时文件使用问题。本地攻击者可能通过符号链接攻击，令使用 OpenJDK 的受害者覆盖任意文件。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
84824	Oracle Java SE 多种漏洞（2015 年 7 月 CPU）(Bar Mitzvah)	Nessus	Windows	2015/7/17	2024/12/19	critical
91779	Juniper Junos Space < 15.1R2 多种漏洞 (JSA10727) (Bar Mitzvah) (Logjam)	Nessus	Junos Local Security Checks	2016/6/23	2022/12/5	high
84770	CentOS 6 / 7：java-1.8.0-openjdk (CESA-2015:1228) (Bar Mitzvah) (Logjam)	Nessus	CentOS Local Security Checks	2015/7/16	2023/4/25	medium
84787	RHEL 6/7：java-1.8.0-openjdk (RHSA-2015:1228)	Nessus	Red Hat Local Security Checks	2015/7/16	2025/4/15	critical
84871	RHEL 6 / 7：java-1.8.0-oracle (RHSA-2015:1241) (Bar Mitzvah) (Logjam)	Nessus	Red Hat Local Security Checks	2015/7/20	2025/2/18	medium
85002	openSUSE 安全更新：java-1_8_0-openjdk (openSUSE-2015-512) (Bar Mitzvah) (Logjam)	Nessus	SuSE Local Security Checks	2015/7/27	2022/12/5	low
89904	GLSA-201603-11：Oracle JRE/JDK：多种漏洞 (Logjam)	Nessus	Gentoo Local Security Checks	2016/3/14	2022/12/5	low
84784	Oracle Linux 6 / 7：java-1.8.0-openjdk (ELSA-2015-1228)	Nessus	Oracle Linux Local Security Checks	2015/7/16	2025/4/29	critical
84793	Scientific Linux 安全更新：SL6.x、SL7.x i386/x86_64 (Bar Mitzvah) (Logjam) 中的 java-1.8.0-openjdk	Nessus	Scientific Linux Local Security Checks	2015/7/16	2022/12/5	medium
84825	Oracle Java SE 多种漏洞（2015 年 7 月 CPU）(Unix) (Bar Mitzvah)	Nessus	Misc.	2015/7/17	2024/6/20	critical
84931	Amazon Linux AMI：java-1.8.0-openjdk (ALAS-2015-571) (Bar Mitzvah) (Logjam)	Nessus	Amazon Linux Local Security Checks	2015/7/23	2022/12/5	medium

检测

插件搜索

critical

high

medium

critical

medium

low

low

critical

medium

critical

medium