更新后的 java-1.7.0-openjdk 程序包修复了各种安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Software Development Kit。

在 2D 组件的字体布局引擎中发现输入验证缺陷。特别构建的字体文件在处理时可触发 Java 虚拟机内存损坏。不受信任的 Java 应用程序或小程序可能利用此缺陷绕过 Java 沙盒限制。(CVE-2013-5907)

在 OpenJDK 的 CORBA、JNDI 和 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。（CVE-2014-0428、CVE-2014-0422、CVE-2013-5893）

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368）

已发现 Beans 组件未对 XML 外部实体的处理进行限制。此缺陷可导致使用 Beans 的 Java 应用程序泄漏敏感信息，或影响应用程序的可用性。(CVE-2014-0423)

已发现 JSSE 组件可在 TLS/SSL 握手期间泄漏定时信息。这可能导致泄露所使用加密密钥的信息。
(CVE-2014-0411)

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

来自 Red Hat 安全公告 2014:0026：

更新后的 java-1.7.0-openjdk 程序包修复了各种安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Software Development Kit。

在 2D 组件的字体布局引擎中发现输入验证缺陷。特别构建的字体文件在处理时可触发 Java 虚拟机内存损坏。不受信任的 Java 应用程序或小程序可能利用此缺陷绕过 Java 沙盒限制。(CVE-2013-5907)

在 OpenJDK 的 CORBA、JNDI 和 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。（CVE-2014-0428、CVE-2014-0422、CVE-2013-5893）

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368）

已发现 Beans 组件未对 XML 外部实体的处理进行限制。此缺陷可导致使用 Beans 的 Java 应用程序泄漏敏感信息，或影响应用程序的可用性。(CVE-2014-0423)

已发现 JSSE 组件可在 TLS/SSL 握手期间泄漏定时信息。这可能导致泄露所使用加密密钥的信息。
(CVE-2014-0411)

注意：通过 RHBA-2013:1611 随附于 Red Hat Enterprise Linux 6.5 的 java-1.7.0-openjdk 程序包将供应商列表中的“java7”替换为“java”。此更新将“java7”重新添加到供应商列表中，以便维持低于 Red Hat Enterprise Linux 6.5 的版本的向后兼容性。

注意：安装由 icedtea-web 程序包提供的 Web 浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在无用户交互的情况下被利用。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

已在 java-1.7.0-openjdk 中发现并修正了多种漏洞：

在 2D 组件的字体布局引擎中发现输入验证缺陷。特别构建的字体文件在处理时可触发 Java 虚拟机内存损坏。不受信任的 Java 应用程序或小程序可能利用此缺陷绕过 Java 沙盒限制 (CVE-2013-5907)。

在 OpenJDK 的 CORBA、JNDI 和 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制（CVE-2014-0428、CVE-2014-0422、CVE-2013-5893）。

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制（CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368）。

已发现 Beans 组件未对 XML 外部实体的处理进行限制。此缺陷可导致使用 Beans 的 Java 应用程序泄漏敏感信息，或影响应用程序可用性 (CVE-2014-0423)。

已发现 JSSE 组件可在 TLS/SSL 握手期间泄漏定时信息。这可能导致泄露所使用加密密钥的信息 (CVE-2014-0411)。

更新后的程序包提供针对这些安全问题的解决方案。

在 OpenJDK JRE 中发现多个与信息泄露和数据完整性相关的漏洞。攻击者可利用这些漏洞在网络中暴露敏感数据。（CVE-2013-3829、CVE-2013-5783、CVE-2013-5804、CVE-2014-0411）

在 OpenJDK JRE 中发现多个与可用性相关的漏洞。攻击者可利用这些漏洞造成拒绝服务。（CVE-2013-4002、CVE-2013-5803、CVE-2013-5823、CVE-2013-5825、CVE-2013-5896、CVE-2013-5910）

在 OpenJDK JRE 中发现多个与数据完整性相关的漏洞。（CVE-2013-5772、CVE-2013-5774、CVE-2013-5784、CVE-2013-5797、CVE-2013-5820、CVE-2014-0376、CVE-2014-0416）

在 OpenJDK JRE 中发现多个与信息泄露相关的漏洞。攻击者可利用这些漏洞在网络中暴露敏感数据。（CVE-2013-5778、CVE-2013-5780、CVE-2013-5790、CVE-2013-5800、CVE-2013-5840、CVE-2013-5849、CVE-2013-5851、CVE-2013-5884、CVE-2014-0368）

在 OpenJDK JRE 中发现多个与信息泄露、数据完整性和可用性相关的漏洞。攻击者可利用这些漏洞造成拒绝服务或在网络中暴露敏感数据。（CVE-2013-5782、CVE-2013-5802、CVE-2013-5809、CVE-2013-5829、CVE-2013-5814、CVE-2013-5817、CVE-2013-5830、CVE-2013-5842、CVE-2013-5850、CVE-2013-5878、CVE-2013-5893、CVE-2013-5907、CVE-2014-0373、CVE-2014-0408、CVE-2014-0422、CVE-2014-0428）

在 OpenJDK JRE 中发现一个与信息泄露及可用性相关的漏洞。攻击者可利用此漏洞在网络中暴露敏感信息或造成拒绝服务。(CVE-2014-0423)。

远程主机上安装的 Java SDK 版本可能受到以下漏洞的影响：

- Oracle Java 中的漏洞允许远程攻击者通过 XML 文档解析中的缺陷绕过安全功能。（CVE-2013-5878、CVE-2013-5910）

- Oracle Java 中的信息泄露缺陷允许远程攻击者通过 COBRA 组件中的缺陷访问敏感信息。(CVE-2013-5884)

- Oracle Java 中的漏洞允许远程攻击者通过 Deployment 组件中的缺陷发动拒绝服务攻击。(CVE-2013-5887)

- Oracle Java 中存在不明漏洞，原因在于 Deployment 组件中的缺陷。（CVE-2013-5888、CVE-2013-5898、CVE-2013-5899、CVE-2014-0375、CVE-2014-0403、CVE-2014-0424）

- Oracle Java 中的漏洞允许通过 Deployment 组件中的缺陷进行远程代码执行。
 （CVE-2013-5889、CVE-2014-0387、CVE-2014-0410、CVE-2014-0415）

- Oracle Java 中的漏洞允许远程攻击者通过 COBRA 组件中的缺陷发动拒绝服务攻击。(CVE-2013-5896)

- Oracle Java 中的漏洞允许通过 2D 组件中的缺陷进行远程代码执行。
 (CVE-2013-5907)

- Oracle Java 的 Networking 组件中存在信息泄露和安全绕过缺陷。(CVE-2014-0368)

- Oracle Java 中的漏洞允许远程攻击者通过 Serviceability 组件中的缺陷绕过安全功能。(CVE-2014-0373)

- Oracle Java 中的漏洞允许远程攻击者通过 JAXP 组件中的缺陷绕过安全功能。(CVE-2014-0376)

- Oracle Java 中的信息泄露缺陷允许远程攻击者通过 JSSE 组件中的缺陷访问关于加密密钥的信息。
 (CVE-2014-0411)

- Oracle Java 中的漏洞允许远程攻击者通过 JAAS 组件中的缺陷绕过安全功能。(CVE-2014-0416)

- Oracle Java 中存在不明漏洞，原因在于 2D 组件中的缺陷。(CVE-2014-0417)

- Oracle Java 中的漏洞允许通过 JNDI 组件中的缺陷进行远程代码执行。
 (CVE-2014-0422)

- 在读取 XML 数据时，Oracle Java 的 Beans 组件中存在信息泄露和拒绝服务缺陷。(CVE-2014-0423)

- Oracle Java 中的漏洞允许通过 COBRA 组件中的缺陷进行远程代码执行。
 (CVE-2014-0428)

远程 Redhat Enterprise Linux 5 / 6 主机上安装的程序包受到 RHSA-2014:0030 公告中提及的多个漏洞影响。

  - OpenJDK：jarsigner 未检测注入到已签名 jar 中的未签名字节码 (CVE-2013-4578)

  - Oracle JDK：修复了 7u51 (JavaFX) 中的多个不明漏洞（CVE-2013-5870、 CVE-2013-5895、 CVE-2014-0382）

  - OpenJDK：null xmlns 处理问题 (Security, 8025026) (CVE-2013-5878)

  - OpenJDK：CORBA 存根工厂中不充分的安全检查 (CORBA, 8026193) (CVE-2013-5884)

  - Oracle JDK：已在 6u71 和 7u51 中修复的不明漏洞 (Deployment)（CVE-2013-5887、CVE-2013-5888、CVE-2013-5889、CVE-2013-5898、CVE-2013-5899、CVE-2013-5902、CVE-2014-0375、CVE-2014-0387、CVE-2014-0403、CVE-2014-0410、CVE-2014-0415、CVE-2014-0418、CVE-2014-0424）

  - OpenJDK：JVM 方法处理问题 (Libraries, 8029507) (CVE-2013-5893)

  - OpenJDK：com.sun.corba.se. 应为受限制程序包 (CORBA, 8025022) (CVE-2013-5896)

  - Oracle JDK：已在 7u51 中修复的不明漏洞 (Deployment) (CVE-2013-5904)

  - Oracle JDK：已在 5.0u71、6u71 和 7u51 中修复的不明漏洞 (Install)（CVE-2013-5905、 CVE-2013-5906）

  - ICU：布局引擎 LookupProcessor 输入检查不充分 (JDK 2D, 8025034) (CVE-2013-5907)

  - OpenJDK：将 XML 规范化程序可变字符串传递到不受信任的代码 (Security, 8026417) (CVE-2013-5910)

  - OpenJDK：套接字 checkListen 检查不充分 (Networking, 8011786) (CVE-2014-0368)

  - OpenJDK：SnmpStatusException 处理问题 (Serviceability, 7068126) (CVE-2014-0373)

  - OpenJDK：文档生成器缺少安全检查 (JAXP, 8027201, 8025018) (CVE-2014-0376)

  - OpenJDK：TLS/SSL 握手时序问题 (JSSE, 8023069) (CVE-2014-0411)

  - OpenJDK：不安全的主题主体集处理 (JAAS, 8024306) (CVE-2014-0416)

  - Oracle JDK：已在 5.0u71、6u71 和 7u51 中修复的不明漏洞 (2D) (CVE-2014-0417)

  - OpenJDK：Naming 组件中不充分的程序包访问检查 (JNDI, 8025758) (CVE-2014-0422)

  - OpenJDK：解码器中的 XXE 问题 (Beans, 8023245) (CVE-2014-0423)

  - OpenJDK：IIOP 流中不充分的安全检查 (CORBA, 8025767) (CVE-2014-0428)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
71979	CentOS 5：java-1.7.0-openjdk (CESA-2014:0027)	Nessus	CentOS Local Security Checks	2014/1/16	2021/1/4	medium
71984	Oracle Linux 6：java-1.7.0-openjdk (ELSA-2014-0026)	Nessus	Oracle Linux Local Security Checks	2014/1/16	2021/1/14	critical
72055	Mandriva Linux 安全公告：java-1.7.0-openjdk (MDVSA-2014:011)	Nessus	Mandriva Local Security Checks	2014/1/21	2021/1/6	critical
72117	Ubuntu 12.10 / 13.04 / 13.10：openjdk-7 漏洞 (USN-2089-1)	Nessus	Ubuntu Local Security Checks	2014/1/24	2021/1/19	critical
76871	AIX Java 公告：java_jan2014_advisory.asc	Nessus	AIX Local Security Checks	2014/7/28	2023/4/21	critical
71987	RHEL 5 / 6：java-1.7.0-oracle (RHSA-2014:0030)	Nessus	Red Hat Local Security Checks	2014/1/16	2024/4/24	medium

検出

プラグインの検索

medium

critical

critical

critical

critical

medium