現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 java-1.6.0-openjdk 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

這些套件提供 OpenJDK 6 Java Runtime Environment 與 OpenJDK 6 Java Software Development Kit。

在 2D 元件的字型配置引擎中發現輸入驗證瑕疵。處理特製的字型檔時，可觸發 Java 虛擬機器記憶體損毀。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過 Java Sandbox 限制。(CVE-2013-5907)

在 OpenJDK 的 CORBA 和 JNDI 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-0428、CVE-2014-0422)

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 元件中發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368)

據發現，Beans 元件未限制 XML 外部實體的處理。此瑕疵可導致使用 Beans 的 Java 應用程式洩漏敏感資訊，或是影響應用程式可用性。(CVE-2014-0423)

據發現，TLS/SSL 交握期間 JSSE 元件可洩漏計時資訊。這可導致洩漏使用過之加密金鑰的相關資訊。
(CVE-2014-0411)

建議所有 java-1.6.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

在 2D 元件的字型配置引擎中發現輸入驗證瑕疵。處理特製的字型檔時，可觸發 Java 虛擬機器記憶體損毀。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過 Java Sandbox 限制。(CVE-2013-5907)

在 OpenJDK 的 CORBA 和 JNDI 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-0428、CVE-2014-0422)

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 元件中發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-0373、 CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、 CVE-2014-0416、CVE-2014-0376、CVE-2014-0368)

據發現，Beans 元件未限制 XML 外部實體的處理。此瑕疵可導致使用 Beans 的 Java 應用程式洩漏敏感資訊，或是影響應用程式可用性。(CVE-2014-0423)

據發現，TLS/SSL 交握期間 JSSE 元件可洩漏計時資訊。這可導致洩漏使用過之加密金鑰的相關資訊。
(CVE-2014-0411)

此 openjdk 更新可修正數個安全性問題。如需已修正弱點的完整清單及其描述，請參閱：

http://mail.openjdk.java.net/pipermail/distro-pkg-dev/2014-January/025 800.html

遠端主機上安裝的 Java SDK 版本可能受下列弱點影響：

- Oracle Java 中的弱點允許遠端攻擊者透過 XML 文件剖析中的瑕疵繞過安全性功能。(CVE-2013-5878、CVE-2013-5910)

- Oracle Java 中的資訊洩漏瑕疵允許遠端攻擊者透過 COBRA 元件中的瑕疵存取敏感資訊。(CVE-2013-5884)

- Oracle Java 中的一個弱點允許遠端攻擊者透過 Deployment 元件中的瑕疵發動拒絕服務攻擊。(CVE-2013-5887)

- Oracle Java 中存在不明弱點，是因 Deployment 元件中的瑕疵所導致。(CVE-2013-5888、CVE-2013-5898、CVE-2013-5899、CVE-2014-0375、CVE-2014-0403、CVE-2014-0424)

- Oracle Java 中的弱點允許透過 Deployment 元件中的瑕疵執行遠端程式碼。
 (CVE-2013-5889、CVE-2014-0387、CVE-2014-0410、CVE-2014-0415)

- Oracle Java 中的一個弱點允許遠端攻擊者透過 COBRA 元件中的瑕疵發動拒絕服務攻擊。(CVE-2013-5896)

- Oracle Java 中的弱點允許透過 2D 元件中的瑕疵執行遠端程式碼。
 (CVE-2013-5907)

- Oracle Java 的 Networking 元件中存在一個資訊洩漏和安全性繞過瑕疵。(CVE-2014-0368)

- Oracle Java 中的弱點允許遠端攻擊者透過 Serviceability 元件中的瑕疵繞過安全性功能。(CVE-2014-0373)

- Oracle Java 中的弱點允許遠端攻擊者透過 JAXP 元件中的瑕疵繞過安全性功能。(CVE-2014-0376)

- Oracle Java 中的資訊洩漏瑕疵允許遠端攻擊者透過 JSSE 元件中的瑕疵，存取加密金鑰相關資訊。
 (CVE-2014-0411)

- Oracle Java 中的弱點允許遠端攻擊者透過 JAAS 元件中的瑕疵繞過安全性功能。(CVE-2014-0416)

- Oracle Java 中存在一個不明弱點，是因 2D 元件中的瑕疵所導致。(CVE-2014-0417)

- Oracle Java 中的弱點允許透過 JNDI 元件中的瑕疵執行遠端程式碼。
 (CVE-2014-0422)

- 讀取 XML 資料時，Oracle Java 的 Beans 元件中存在一個資訊洩漏和拒絕服務瑕疵。(CVE-2014-0423)

- Oracle Java 中的弱點允許透過 COBRA 元件中的瑕疵執行遠端程式碼。
 (CVE-2014-0428)

- 修正 -devel 和 -headless 套件之間的檔案衝突

- 2.4.4 的更新 (bnc#858818)

- 無法在更新期間首次將 xz 變更為 gzipped tarball

- 因版本管理員變更新版套件檔案而變更 keyring 檔案已由 66484681 from omajid@redhat.com 進行簽署，請參閱 http://mail.openjdk.java.net/pipermail/distro-pkg-dev/2014-January/025800.html

- 安全性修正：

- S6727821：增強 JAAS 組態

- S7068126、CVE-2014-0373：增強 SNMP 狀態

- S8010935：改善 XML 處理

- S8011786、CVE-2014-0368：改善 applet 網路功能

- S8021257、S8025022、CVE-2013-5896：com.sun.corba.se.** 應位於受限套件清單

- S8021271、S8021266、CVE-2014-0408：改善 ObjC 程式碼中的緩衝處理

- S8022904：增強 JDBC 剖析器

- S8022927：位元組/端末轉換的輸入驗證

- S8022935：增強 Apache 解析器類別

- S8022945：增強 JNDI 實作類別

- S8023057：增強啟動影像顯示

- S8023069、CVE-2014-0411：增強 TLS 連線

- S8023245、CVE-2014-0423：增強 Beans 解碼

- S8023301：增強泛型類別

- S8023338：更新 jarsigner 以鼓勵進行時間戳記

- S8023672：增強 jar 檔案驗證

- S8024302：闡明 jar 驗證

- S8024306、CVE-2014-0416：增強主體一致性

- S8024530：增強字型處理程序彈性

- S8024867：增強記錄啟動

- S8025014：增強安全性原則

- S8025018、CVE-2014-0376：增強 JAX-P 設定

- S8025026、CVE-2013-5878：增強標準化

- S8025034、CVE-2013-5907：改善配置查閱

- S8025448：增強接聽事件

- S8025758、CVE-2014-0422：增強命名管理

- S8025767、CVE-2014-0428：增強 IIOP 資料流

- S8026172：增強 UI 管理

- S8026176：增強文件列印

- S8026193、CVE-2013-5884：增強 CORBA 虛設常式中心

- S8026204：增強驗證登入內容

- S8026417、CVE-2013-5910：增強 XML 標準化

- S8026502：java/lang/invoke/MethodHandleConstants.java 在所有平台上發生失敗

- S8027201、CVE-2014-0376：增強 JAX-P 設定

- S8029507、CVE-2013-5893：增強 JVM 方法處理

- S8029533：迴歸：
針對下列項目，closed/java/lang/invoke/8008140/Test8008140.java 失敗

- 反向移植

- S8025255：(tz) 支援 tzdata2013g

- S8026826：8010935 的 JDK 7 修正使版本損毀

- 錯誤修正

- PR1618：包括 vm.make 中的 defs.make。因此，得以定義零版本上的 VM_LITTLE_ENDIAN

- D729448：在 mips 和 mipsel 上進行 32 位元對齊

- PR1623：使用 OpenJDK 6 啟動程序時，OpenJDK 6 和 7 類別之間發生衝突

- 新增 update.py、協助程式指令碼，以從 hg repo 下載 openjdk tarballs

- Buildrequire 無條件摘錄，因為它無條件被使用。

- 實際停用非 JIT 架構上的測試。(來自 Ulrich Weigand)

- 新增不需要 X 和 pulse/alsa 的無周邊子套件

- 將存取性新增到額外的子套件，其需要新的 java-atk-wrapper 套件

- 已移除 java-1.7.0-openjdk-java-access-bridge-idlj.patch

- 已移除 java-1.7.0-openjdk-java-access-bridge-tck.patch

- 已移除 java-access-bridge-1.26.2.tar.bz2

- 已重新整理

- java-1.7.0-openjdk-java-access-bridge-security.patch

- 為與測試一同使用的執行中測試新增支援

- 在非 jit 架構上，這會被忽略

- 偏好全域定義，因為 bcond_with 已經使用該定義

- 向前宣告 aarch64 arch 巨集

- 對 arm 和 aarch64 定義 archbuild/archinstall 巨集

- 藉由使用檔案清單中的巨集，來移除一些 ifarch 條件

- 在啟動程序模式下需要 ecj-bootstrap (由 mmatz 所記述)

- 不在啟動程序模式下安裝 vim 和 quilt

- 啟動程序模式的一些增強功能

- 可與啟動程序搭配使用的 wia

- 停用 docs、javadoc 套件

- 修正啟動程序上的設定引數

- 將未建立版本的 SDK 目錄連結新增至 -devel 套件的檔案清單 (修正來自 %post 的更新別名)。

- 僅利用 gcj (直接使用內含的 ecj) 新增對啟動程序的支援。增加 powerpc 的堆疊大小 (修改 java-1.7.0-openjdk-ppc-zero-jdk.patch)。新增對 ppc64le 的支援。

- 修正 powerpc 的堆疊溢位 (java-1_7_0-openjdk-ppc-stackoverflow.patch)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
72161	RHEL 5 / 6：java-1.6.0-openjdk (RHSA-2014:0097)	Nessus	Red Hat Local Security Checks	2014/1/28	2021/1/14	medium
72301	Amazon Linux AMI : java-1.6.0-openjdk (ALAS-2014-283)	Nessus	Amazon Linux Local Security Checks	2014/2/5	2018/4/18	critical
72423	SuSE 11.3 安全性更新：openjdk (SAT 修補程式編號 8874)	Nessus	SuSE Local Security Checks	2014/2/11	2021/1/19	critical
76871	AIX Java 公告：java_jan2014_advisory.asc	Nessus	AIX Local Security Checks	2014/7/28	2023/4/21	critical
75413	openSUSE 安全性更新：java-1_7_0-openjdk (openSUSE-SU-2014:0174-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
75414	openSUSE 安全性更新：java-1_7_0-openjdk (openSUSE-SU-2014:0180-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical

検出

プラグインの検索

medium

critical

critical

critical

critical

critical