來自 Red Hat 安全性公告 2012:1434：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 icedtea-web 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IcedTea-Web 專案提供 Java 網頁瀏覽器外掛程式和 Java Web Start 實作，其以 Netx 專案為基礎。
它也包含管理外掛程式和 Web Start 實作中的部署設定之組態工具。

IcedTea-Web 外掛程式中發現緩衝區溢位瑕疵。造訪惡意網頁可導致使用 IcedTea-Web 外掛程式的網頁瀏覽器損毀，或可能執行任意程式碼。(CVE-2012-4540)

Red Hat 要感謝 Arthur Gerkis 報告此問題。

此錯字勘誤表也會將 IcedTea-Web 升級至 1.2.2 版。請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

所有 IcedTea-Web 使用者皆應升級至這些更新版套件，這些套件可解決此問題。使用 IcedTea-Web 瀏覽器外掛程式的網頁瀏覽器必須重新啟動，此更新才會生效。

已更新至 icedtea-web 1.4.1 新版本 1.4.1 (2013-XX-YY)：

- 改善並清理網際網路暫存檔面板

- PR1465 - 嘗試下載 JAR 檔案時，發生 java.io.FileNotFoundException

- PR1473 - javaws 不應依賴本機檔案的名稱

- PR854：多次調整 applet 大小會造成 100% 的 CPU 負載

- CVE-2012-4540、RH869040：觸發附加至 applet 的事件後，出現堆積型緩衝區溢位

- 在 dist-tarball 中啟用再生器測試

- 針對 OpenJDK build 25 和更高版本的應用程式內容支援

- 針對 rhino 支援的小型修補程式，以及

- PR1533：與其他內容類似，繼承了 jnlp.packEnabled 和 jnlp.versionEnabled

- 新增 icedtea-web 手冊頁

- 再次啟用檢查

- 應針對非標準架構進行構建

- 移除未使用的 multilib 架構

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

icedtea-web java 外掛程式已更新至 1.6.1。

變更包括：

- 已啟用進入點屬性檢查

- 權限沙箱和具有所有權限的已簽署/未簽署應用程式目前都在沙箱中執行，而非完全不執行。

- 已修正 DownloadService

- deployment.properties 中的註解現應持續載入/儲存

- 已修正快取查詢檔案過程中的錯誤

- 已修正重新建立既有捷徑的問題

- trustAll/trustNone 已可正確處理

- headless 不再顯示對話方塊

- RH1231441 無法讀取安全性對話方塊的按鈕文字

- 已修正 RH1233697 icedtea-web：applet 來源偽造 (CVE-2015-5235、bsc#944208)

- 已修正 RH1233667 icedtea-web：未簽署 applet 的非預期永久性授權 (CVE-2015-5234、bsc#944209)

- MissingALACAdialog 也可用於未簽署的應用程式 (但是會忽略實際的資訊清單值) 且已修正

- NetX

- 已修正 -html 捷徑的問題

- 已修正以 -html 接收記憶體之寬度與高度的問題

- PolicyEditor

- 獨立使用檔案旗標時，可正常運作

- 檔案旗標和主要引數無法一起使用

- 修正部分「tail」版本的手冊頁產生

亦包括 1.6 版的更新

- 已大幅提升離線功能。新增 Xoffline 開關，可在無 inet 連線時強制運作。

- 已改善，現在能聯合任何 JDK 一起執行

- 不再支援 JDK 6 和更早版本

- 已新增 JDK 8 支援 (授予 URLPermission，若適用)

- 已支援 JDK 9

- 已新增對進入點資訊清單屬性的支援

- 已將 KEY_ENABLE_MANIFEST_ATTRIBUTES_CHECK 部署內容新增至資訊清單檔案的控制掃描

- 啟動引數現亦可接受縮寫

- 已新增新文件

- 已新增對功能表捷徑的支援 - 同時支援 javaws 應用程式/applet 和 html applet

- 已新增對 javaws 之 -html 切換的支援。現在無需瀏覽器就可執行多數 applet

- 控制面板

- PR1856：針對較低的解析度 (800*600) 改善 ControlPanel UI

- NetX

- PR1858：Java Console 接受多位元組編碼

- PR1859：針對較低的解析度 (800*600) 改善 Java Console UI

- RH1091563：[abrt] icedtea-web-1.5-2.fc20：無法攔截 sun.applet.PluginAppletViewer$8.run() 方法中的 java.lang.ClassCastException 例外狀況

- 已停止對久未維護之 -basedir 引數的支援

- 已恢復對 -jnlp 引數的支援

- RH1095311、PR574 - 已移除 OpenJDK 9 中的 sun.misc.Ref 參照類別 - 已修正，現可構建在 JDK9 上

- 外掛程式

- PR1743 - PluginRequestProcessor 中的間歇性鎖死

- PR1298 - LiveConnect - JS 的問題設定陣列元素 (applet 變數)

- RH1121549：coverity 缺失

- 以超級類別階層距離正確解決方法過載的問題

- PolicyEditor

- 程式碼基底可就地重新命名、複製及貼上

- 可將程式碼基底 URL 複製到系統剪貼簿

- 開啟或儲存檔案時，顯示進度對話方塊

- 在任何情況下均可將未指派權限的程式碼基底儲存至檔案 (並且於下次開啟時再次出現)

- PR1776：save-and-exit 上的 Null 指標

- PR1850：從安全性對話方塊啟動時，複製程式碼基底

- 先前按一下「離開前先儲存」對話方塊中的 [取消] 可能導致未儲存變更即離開編輯器，現在這個錯誤已得到修正

- 已大幅改善鍵盤加速器和助憶鍵

- 'File - New' 允許在未選取欲儲存之檔案的情況下編輯新原則

- 通用

- PR1769：支援已簽署的 applet，該 applet 於其資訊清單中指明沙箱權限

- 現已可選取多個安全性對話方塊中的暫時性權限，且是以 PolicyEditor 權限為基礎

- 1.5.2 的更新

- NetX

- RH1095311、PR574 - 已移除 OpenJDK 9 中的 sun.misc.Ref 參照類別 - 已修正，現可構建在 JDK9 上

- RH1154177 - 需要快取中的已解碼檔案

- 已修正 https 對話方塊中的 NPE

- 空白的程式碼基底如「.」般運作

IcedTea Web Java 外掛程式已更新至 1.3.1 (bnc#787846)

- 安全性更新

- CVE-2012-4540、RH869040：觸發附加至 applet 的事件後，出現堆積型緩衝區溢位

- 一般錯誤修正

- PR1161：X509VariableTrustManager 無法搭配 OpenJDK7 正確運作，修正自我簽署問題 (如 bnc#784859、bnc#785333、bnc#786775 所述)

遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

icedtea-web java 插件已更新到 1.6.1。

变更包括：

- 启用条目点属性检查

- 权限沙盒以及具有“全部权限”权限的签名应用和未签名应用现在可在沙盒中运行，而不是完全无法运行。

- 修复了 DownloadService

- 现在 deployment.properties 中的注释应一直加载/保存

- 修复了包含查询的文件缓存中的缺陷

- 修复了重新创建现有快捷方式时的问题

- trustAll/trustNone 现在可正确处理

- headless 不再显示对话

- RH1231441 无法读取安全对话按钮的文本

- 修复了 RH1233697 icedtea-web：小程序源欺骗（CVE-2015-5235、bsc#944208）

- 修复了 RH1233667 icedtea-web：未签名小程序的非预期永久授权（CVE-2015-5234、bsc#944209）

- MissingALACAdialog 也可应用于非签名应用程序（但忽略实际清单值）且已修复

- NetX

- 修复了 -html 快捷方式的问题

- 修复了 -html 接收宽度和高度值垃圾时的问题

- PolicyEditor

- 使文件标记可独立使用

- 文件标记和主参数无法组合使用

- 修复某些“tail”版本的手册页生成

此外还包括 1.6 的更新。

- 极大改进了离线功能。已添加 Xoffline 开关，现已能够在不连接 inet 的情况下强制进行工作。

- 已改进能够通过任何 JDK 运行

- 不再支持 JDK 6 及更早版本

- 添加了 JDK 8 支持（如果适用会授予 URL 权限）

- 支持 JDK 9

- 添加了条目点清单属性支持

- 添加了 KEY_ENABLE_MANIFEST_ATTRIBUTES_CHECK 部署属性以控制清单文件扫描

- 现在还支持启动参数的缩写形式

- 添加了新的文档

- 添加了菜单快捷方式支持 - 同时支持 javaws 应用程序/小程序和 html 小程序

- 添加了 javaws 的 -html 切换支持现在，您可以在不使用浏览器的情况下运行大多数小程序

- 控制面板

- PR1856：针对较低分辨率 (800*600) 的 ControlPanel UI 改进

- NetX

- PR1858：Java 控制台接受多字节编码

- PR1859：针对较低分辨率 (800*600) 的 Java 控制台 UI 改进

- RH1091563：[abrt] icedtea-web-1.5-2.fc20：sun.applet.PluginAppletViewer$8.run() 方法中的未捕获异常 java.lang.ClassCastException

- 放弃对长期未维护的 -basedir 参数的支持

- 恢复对 -jnlp 参数的支持

- RH1095311、PR574 - OpenJDK 9 中删除的引用类 sun.misc.Ref - 已修复，因此可在 JDK9 中进行构建

- 插件

- PR1743 - PluginRequestProcessor 中的间歇性死锁

- PR1298 - LiveConnect - 来自 JS 的数组元素（小程序变量）设置问题

- RH1121549：Coverity 缺陷

- 通过超类层级距离正确解决方法过载

- PolicyEditor

- 代码库可在原位进行重命名，并进行复制和粘贴

- 代码库 URL 可复制到系统剪贴板

- 当打开或保存文件时显示进度对话框

- 未分配权限的代码库始终保存到文件（并在下一次打开时重新出现）

- PR1776：保存并退出时的空指针

- PR1850：当从安全对话框运行时复制代码库

- 修复了在“退出前保存”对话框中点击“取消”时可导致编辑器在未保存更改的情况下退出的缺陷。

- 极大改进了键盘加速器和助记键

- “文件 - 新建”允许编辑新策略，而不必首先选择要保存的文件

- 通用

- PR1769：支持在其清单中指定沙盒权限的已签名小程序

- 现在，安全对话框中的临时权限支持多选且基于 PolicyEditor 权限

- 更新到 1.5.2

- NetX

- RH1095311、PR574 - OpenJDK 9 中删除的引用类 sun.misc.Ref - 已修复，因此可在 JDK9 中进行构建

- RH1154177 - 缓存中所需的解码文件

- 修复了 https 对话框中的 NPE

- 空代码库按“.”执行行为

已更新到 icedtea-web 1.4.1。1.4.1 版本的新功能（2013 年 XX 月 YY 日）：

- 改进并清理了临时 internet 文件面板

- PR1465 - 尝试下载 JAR 文件时 java.io.FileNotFoundException

- PR1473 - javaws 不应依赖于本地文件的文件名

- PR854：多次调整小程序的大小导致 100% CPU 负载

- CVE-2012-4540，RH869040：触发小程序的附加事件之后出现基于堆的缓冲区溢出

- 在 dist-tarball 中启用重现程序测试

- 针对 OpenJDK 25 和更高版本的应用程序上下文支持

- 用于 rhino 支持的小修补程序，以及

- PR1533：像其他属性一样继承 jnlp.packEnabled 和 jnlp.versionEnabled

- 新增 icedtea-web 手册页

- 再次启用检查

- 应针对非标准 arch 构建

- 删除未使用的 multilib arch

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

来自 Red Hat 安全公告 2012:1434：

更新后的 icedtea-web 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

IcedTea-Web 项目提供基于 Netx 项目的 Java Web 浏览器插件以及 Java Web Start 的实现。
它还包含用于对插件和 Web Start 实现的部署设置进行管理的配置工具。

发现 IcedTea-Web 插件中存在缓冲区溢出缺陷。访问恶意网页可能导致使用 IcedTea-Web 插件的 Web 浏览器崩溃或执行任意代码。(CVE-2012-4540)

Red Hat 在此感谢 Arthur Gerkis 报告此问题。

此勘误表还会将 IcedTea-Web 升级到版本 1.2.2。有关更多信息，请参阅“参考”中链接的 NEWS 文件。

所有 IcedTea-Web 用户应升级这些更新后的程序包，其中解决了此问题。必须重新启动使用 IcedTea-Web 浏览器插件的 Web 浏览器，才能使此更新生效。

IcedTea Web Java 插件已更新到 1.3.1 (bnc#787846)

- 安全更新

- CVE-2012-4540，RH869040：触发小程序的附加事件之后出现基于堆的缓冲区溢出

- 普通缺陷补丁

- PR1161：X509VariableTrustManager 未正确运行，OpenJDK7 修复了自签名问题（bnc#784859、bnc#785333、bnc#786775 中所述问题）

远程主机受到 GLSA-201406-32 中所述漏洞的影响（IcedTea JDK：多种漏洞）

已在 IcedTea JDK 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可能以进程的权限执行任意代码，造成拒绝服务情况，获得敏感信息，绕过预期的安全策略，或造成其他不明影响。
 变通方案：

目前无任何已知的变通方案。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
68652	Oracle Linux 6 : icedtea-web (ELSA-2012-1434)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
70296	Fedora 18 : icedtea-web-1.4.1-0.fc18 (2013-17016)	Nessus	Fedora Local Security Checks	2013/10/4	2021/1/11	medium
86094	openSUSE 安全性更新：icedtea-web (openSUSE-2015-602)	Nessus	SuSE Local Security Checks	2015/9/23	2021/1/19	medium
74816	openSUSE 安全性更新：icedtea-web (openSUSE-SU-2012:1524-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical
86094	openSUSE 安全更新：icedtea-web (openSUSE-2015-602)	Nessus	SuSE Local Security Checks	2015/9/23	2021/1/19	medium
70296	Fedora 18：icedtea-web-1.4.1-0.fc18 (2013-17016)	Nessus	Fedora Local Security Checks	2013/10/4	2021/1/11	medium
68652	Oracle Linux 6：icedtea-web (ELSA-2012-1434)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
74816	openSUSE 安全更新：icedtea-web (openSUSE-SU-2012:1524-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
76303	GLSA-201406-32：IcedTea JDK：多种漏洞 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical

検出

プラグインの検索

medium

medium

medium

medium

critical

medium

medium

medium

medium

critical