セキュリティ修正：

- OpenJDK でのシリアル化コンポーネントとホットスポットコンポーネントで、複数の欠陥が発見されました。信頼できない Java アプリケーションまたはアプレットがこれらの欠陥を利用して、Java サンドボックスの制限を完全にバイパスする可能性があります。
 （CVE-2016-0686、CVE-2016-0687）

- OpenJDK での JMX コンポーネント内の RMI サーバーの実装では、認証証明書を逆シリアル化する際に、逆シリアル化される可能性があるクラスを制限していないことが判明しました。JMX ポートに接続できる認証されていないリモートの攻撃者は、この欠陥を利用して、逆シリアル化の欠陥を誘発する可能性があります。
 （CVE-2016-3427）

- OpenJDK での JAXP コンポーネントは、XML 属性値の一部として、Unicode のサロゲートペアを適切に処理していないことが判明しました。特別に細工された XML の入力により、Java アプリケーションは、解析時に過剰な量のメモリを使用する可能性があります。（CVE-2016-3425）

- OpenJDK でのセキュリティコンポーネントは、DSA 署名を生成する際に、ダイジェストアルゴリズムの強さをチェックできていないことが判明しました。強さがキーよりも弱いダイジェストを使用することで、予想外に弱い署名が生成される可能性があります。
 （CVE-2016-0695）

検出

Scientific Linux セキュリティ更新：java-1.6.0-openjdk on SL5.x、SL6.x、SL7.x i386/x86_64

critical Nessus プラグイン ID 91040

バージョン 2.7