來自 Red Hat 安全性公告 2014:0026：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 java-1.7.0-openjdk 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

這些套件提供 OpenJDK 7 Java Runtime Environment 與 OpenJDK 7 Software Development Kit。

在 2D 元件的字型配置引擎中發現輸入驗證瑕疵。處理特製的字型檔時，可觸發 Java 虛擬機器記憶體損毀。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過 Java Sandbox 限制。(CVE-2013-5907)

在 OpenJDK 的 CORBA、JNDI 和 Libraries 元件中發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2014-0428、CVE-2014-0422、CVE-2013-5893)

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 元件中發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368)

據發現，Beans 元件未限制 XML 外部實體的處理。此瑕疵可導致使用 Beans 的 Java 應用程式洩漏敏感資訊，或是影響應用程式可用性。(CVE-2014-0423)

據發現，TLS/SSL 交握期間 JSSE 元件可洩漏計時資訊。這可能導致洩漏使用過之加密金鑰的相關資訊。
(CVE-2014-0411)

注意：透過 RHBA-2013:1611 在 Red Hat Enterprise Linux 6.5 中提供的 java-1.7.0-openjdk 套件，已在提供項目清單中將「java7」取代為「java」。此更新將‘java7’重新加入提供項目清單中，以便維持 Red Hat Enterprise Linux 6.5 以前版本的回溯相容性。

注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

遠端 Redhat Enterprise Linux 5 / 6 主機上安裝的套件受到 RHSA-2014:0030 公告中提及的多個弱點影響。

  - OpenJDK：jarsigner 未偵測插入已簽署 jar 的未簽署位元組程式碼 (CVE-2013-4578)

  - Oracle JDK：已在 7u51 中修正多個不明弱點 (JavaFX) (CVE-2013-5870、CVE-2013-5895、CVE-2014-0382)

  - OpenJDK：null xmlns 處理問題 (安全性，8025026) (CVE-2013-5878)

  - OpenJDK：CORBA stub 工廠中的安全性檢查不充分 (CORBA，8026193) (CVE-2013-5884)

  - Oracle JDK：已修正 6u71 和 7u51 中的不明弱點 (部署) (CVE-2013-5887、CVE-2013-5888、CVE-2013-5889、CVE-2013-5898、CVE-2013-5899、CVE-2013-5902、CVE-2014-0375、CVE-2014-0387、CVE-2014-0403、CVE-2014-0410、CVE-2014-0415、CVE-2014-0418、CVE-2014-0424)

  - OpenJDK：JVM 方法處理問題 (Libraries、8029507) (CVE-2013-5893)

  - OpenJDK：com.sun.corba.se. 應為受限制的套件 (CORBA，8025022) (CVE-2013-5896)

  - Oracle JDK：已解決 7u51 中的不明弱點 (部署) (CVE-2013-5904)

  - Oracle JDK：已修正 5.0u71、6u71 和 7u51 中的不明弱點 (安裝) (CVE-2013-5905、CVE-2013-5906)

  - ICU：Layout Engine LookupProcessor 輸入檢查不足 (JDK 2D，8025034) (CVE-2013-5907)

  - OpenJDK：將 XML canonicalizer 易變字串傳遞至未受信任的程式碼 (安全性，8026417) (CVE-2013-5910)

  - OpenJDK：通訊端 checkListen 檢查不足 (網路，8011786) (CVE-2014-0368)

  - OpenJDK：SnmpStatusException 處理問題 (Serviceability，7068126) (CVE-2014-0373)

  - OpenJDK：文件建立器缺少安全性檢查 (JAXP，8027201、8025018) (CVE-2014-0376)

  - OpenJDK：TLS/SSL 交握定時問題 (JSSE，8023069) (CVE-2014-0411)

  - OpenJDK：不安全的主旨主體集處理 (JAAS，8024306) (CVE-2014-0416)

  - Oracle JDK：已修正 5.0u71、6u71 和 7u51 中的不明弱點 (2D) (CVE-2014-0417)

  - OpenJDK：Naming 元件中的套件存取檢查不充分 (JNDI，8025758) (CVE-2014-0422)

  - OpenJDK：解碼器中的 XXE 問題 (Beans，8023245) (CVE-2014-0423)

  - OpenJDK：IIOP 資料流中的安全性檢查不充分 (CORBA，8025767) (CVE-2014-0428)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 java-1.7.0-openjdk 中發現多個弱點且已更正：

在 2D 元件的字型配置引擎中發現輸入驗證瑕疵。處理特製的字型檔時，可觸發 Java 虛擬機器記憶體損毀。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過特定 Java Sandbox 限制 (CVE-2013-5907)。

在 OpenJDK 的 CORBA、JNDI 和 Libraries 元件中發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2014-0428、CVE-2014-0422、CVE-2013-5893)。

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 元件中發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過特定 Java Sandbox 限制 (CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368)。

據發現，Beans 元件未限制 XML 外部實體的處理。此瑕疵可造成使用 Beans 的 Java 應用程序洩漏敏感資訊，或是影響應用程式可用性 (CVE-2014-0423)。

據發現，TLS/SSL 交握期間 JSSE 元件可洩漏計時資訊。這可能導致洩漏使用過之加密金鑰的相關資訊 (CVE-2014-0411)。

更新版套件會提供這些安全性問題的解決方案。

在 OpenJDK JRE 中發現數個與資訊洩漏和資料完整性相關的弱點。攻擊者可惡意利用這些弱點透過網路洩漏敏感資料。(CVE-2013-3829、CVE-2013-5783、CVE-2013-5804、CVE-2014-0411)

在 OpenJDK JRE 中發現數個與可用性相關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務。(CVE-2013-4002、CVE-2013-5803、CVE-2013-5823、CVE-2013-5825、CVE-2013-5896、CVE-2013-5910)

在 OpenJDK JRE 中發現數個和資料完整性有關的弱點。(CVE-2013-5772、CVE-2013-5774、CVE-2013-5784、CVE-2013-5797、CVE-2013-5820、CVE-2014-0376、CVE-2014-0416)

在 OpenJDK JRE 中發現數個與資訊洩漏相關的弱點。攻擊者可惡意利用這些弱點透過網路洩漏敏感資料。(CVE-2013-5778、CVE-2013-5780、CVE-2013-5790、CVE-2013-5800、CVE-2013-5840、CVE-2013-5849、CVE-2013-5851、CVE-2013-5884、CVE-2014-0368)

在 OpenJDK JRE 中發現數個與資訊洩漏、資料完整性和可用性有關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務，或透過網路洩漏敏感資料。(CVE-2013-5782、CVE-2013-5802、CVE-2013-5809、CVE-2013-5829、CVE-2013-5814、CVE-2013-5817、CVE-2013-5830、CVE-2013-5842、CVE-2013-5850、CVE-2013-5878、CVE-2013-5893、CVE-2013-5907、CVE-2014-0373、CVE-2014-0408、CVE-2014-0422、CVE-2014-0428)

在 OpenJDK JRE 中發現一個和資訊洩漏及可用性有關的弱點。攻擊者可惡意利用此弱點，透過網路洩漏敏感資料，或是造成拒絕服務。(CVE-2014-0423)。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 java-1.6.0-openjdk 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

這些套件提供 OpenJDK 6 Java Runtime Environment 與 OpenJDK 6 Java Software Development Kit。

在 2D 元件的字型配置引擎中發現輸入驗證瑕疵。處理特製的字型檔時，可觸發 Java 虛擬機器記憶體損毀。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過 Java Sandbox 限制。(CVE-2013-5907)

在 OpenJDK 的 CORBA 和 JNDI 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-0428、CVE-2014-0422)

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 元件中發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368)

據發現，Beans 元件未限制 XML 外部實體的處理。此瑕疵可導致使用 Beans 的 Java 應用程式洩漏敏感資訊，或是影響應用程式可用性。(CVE-2014-0423)

據發現，TLS/SSL 交握期間 JSSE 元件可洩漏計時資訊。這可導致洩漏使用過之加密金鑰的相關資訊。
(CVE-2014-0411)

建議所有 java-1.6.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

在 2D 元件的字型配置引擎中發現輸入驗證瑕疵。處理特製的字型檔時，可觸發 Java 虛擬機器記憶體損毀。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過 Java Sandbox 限制。(CVE-2013-5907)

在 OpenJDK 的 CORBA 和 JNDI 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-0428、CVE-2014-0422)

在 OpenJDK 的 Serviceability、Security、CORBA、JAAS、JAXP 和 Networking 元件中發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-0373、 CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、 CVE-2014-0416、CVE-2014-0376、CVE-2014-0368)

據發現，Beans 元件未限制 XML 外部實體的處理。此瑕疵可導致使用 Beans 的 Java 應用程式洩漏敏感資訊，或是影響應用程式可用性。(CVE-2014-0423)

據發現，TLS/SSL 交握期間 JSSE 元件可洩漏計時資訊。這可導致洩漏使用過之加密金鑰的相關資訊。
(CVE-2014-0411)

此 openjdk 更新可修正數個安全性問題。如需已修正弱點的完整清單及其描述，請參閱：

http://mail.openjdk.java.net/pipermail/distro-pkg-dev/2014-January/025 800.html

- 修正 -devel 和 -headless 套件之間的檔案衝突

- 2.4.4 的更新 (bnc#858818)

- 無法在更新期間首次將 xz 變更為 gzipped tarball

- 因版本管理員變更新版套件檔案而變更 keyring 檔案已由 66484681 from omajid@redhat.com 進行簽署，請參閱 http://mail.openjdk.java.net/pipermail/distro-pkg-dev/2014-January/025800.html

- 安全性修正：

- S6727821：增強 JAAS 組態

- S7068126、CVE-2014-0373：增強 SNMP 狀態

- S8010935：改善 XML 處理

- S8011786、CVE-2014-0368：改善 applet 網路功能

- S8021257、S8025022、CVE-2013-5896：com.sun.corba.se.** 應位於受限套件清單

- S8021271、S8021266、CVE-2014-0408：改善 ObjC 程式碼中的緩衝處理

- S8022904：增強 JDBC 剖析器

- S8022927：位元組/端末轉換的輸入驗證

- S8022935：增強 Apache 解析器類別

- S8022945：增強 JNDI 實作類別

- S8023057：增強啟動影像顯示

- S8023069、CVE-2014-0411：增強 TLS 連線

- S8023245、CVE-2014-0423：增強 Beans 解碼

- S8023301：增強泛型類別

- S8023338：更新 jarsigner 以鼓勵進行時間戳記

- S8023672：增強 jar 檔案驗證

- S8024302：闡明 jar 驗證

- S8024306、CVE-2014-0416：增強主體一致性

- S8024530：增強字型處理程序彈性

- S8024867：增強記錄啟動

- S8025014：增強安全性原則

- S8025018、CVE-2014-0376：增強 JAX-P 設定

- S8025026、CVE-2013-5878：增強標準化

- S8025034、CVE-2013-5907：改善配置查閱

- S8025448：增強接聽事件

- S8025758、CVE-2014-0422：增強命名管理

- S8025767、CVE-2014-0428：增強 IIOP 資料流

- S8026172：增強 UI 管理

- S8026176：增強文件列印

- S8026193、CVE-2013-5884：增強 CORBA 虛設常式中心

- S8026204：增強驗證登入內容

- S8026417、CVE-2013-5910：增強 XML 標準化

- S8026502：java/lang/invoke/MethodHandleConstants.java 在所有平台上發生失敗

- S8027201、CVE-2014-0376：增強 JAX-P 設定

- S8029507、CVE-2013-5893：增強 JVM 方法處理

- S8029533：迴歸：
針對下列項目，closed/java/lang/invoke/8008140/Test8008140.java 失敗

- 反向移植

- S8025255：(tz) 支援 tzdata2013g

- S8026826：8010935 的 JDK 7 修正使版本損毀

- 錯誤修正

- PR1618：包括 vm.make 中的 defs.make。因此，得以定義零版本上的 VM_LITTLE_ENDIAN

- D729448：在 mips 和 mipsel 上進行 32 位元對齊

- PR1623：使用 OpenJDK 6 啟動程序時，OpenJDK 6 和 7 類別之間發生衝突

- 新增 update.py、協助程式指令碼，以從 hg repo 下載 openjdk tarballs

- Buildrequire 無條件摘錄，因為它無條件被使用。

- 實際停用非 JIT 架構上的測試。(來自 Ulrich Weigand)

- 新增不需要 X 和 pulse/alsa 的無周邊子套件

- 將存取性新增到額外的子套件，其需要新的 java-atk-wrapper 套件

- 已移除 java-1.7.0-openjdk-java-access-bridge-idlj.patch

- 已移除 java-1.7.0-openjdk-java-access-bridge-tck.patch

- 已移除 java-access-bridge-1.26.2.tar.bz2

- 已重新整理

- java-1.7.0-openjdk-java-access-bridge-security.patch

- 為與測試一同使用的執行中測試新增支援

- 在非 jit 架構上，這會被忽略

- 偏好全域定義，因為 bcond_with 已經使用該定義

- 向前宣告 aarch64 arch 巨集

- 對 arm 和 aarch64 定義 archbuild/archinstall 巨集

- 藉由使用檔案清單中的巨集，來移除一些 ifarch 條件

- 在啟動程序模式下需要 ecj-bootstrap (由 mmatz 所記述)

- 不在啟動程序模式下安裝 vim 和 quilt

- 啟動程序模式的一些增強功能

- 可與啟動程序搭配使用的 wia

- 停用 docs、javadoc 套件

- 修正啟動程序上的設定引數

- 將未建立版本的 SDK 目錄連結新增至 -devel 套件的檔案清單 (修正來自 %post 的更新別名)。

- 僅利用 gcj (直接使用內含的 ecj) 新增對啟動程序的支援。增加 powerpc 的堆疊大小 (修改 java-1.7.0-openjdk-ppc-zero-jdk.patch)。新增對 ppc64le 的支援。

- 修正 powerpc 的堆疊溢位 (java-1_7_0-openjdk-ppc-stackoverflow.patch)

遠端主機上安裝的 Java SDK 版本可能受下列弱點影響：

- Oracle Java 中的弱點允許遠端攻擊者透過 XML 文件剖析中的瑕疵繞過安全性功能。(CVE-2013-5878、CVE-2013-5910)

- Oracle Java 中的資訊洩漏瑕疵允許遠端攻擊者透過 COBRA 元件中的瑕疵存取敏感資訊。(CVE-2013-5884)

- Oracle Java 中的一個弱點允許遠端攻擊者透過 Deployment 元件中的瑕疵發動拒絕服務攻擊。(CVE-2013-5887)

- Oracle Java 中存在不明弱點，是因 Deployment 元件中的瑕疵所導致。(CVE-2013-5888、CVE-2013-5898、CVE-2013-5899、CVE-2014-0375、CVE-2014-0403、CVE-2014-0424)

- Oracle Java 中的弱點允許透過 Deployment 元件中的瑕疵執行遠端程式碼。
 (CVE-2013-5889、CVE-2014-0387、CVE-2014-0410、CVE-2014-0415)

- Oracle Java 中的一個弱點允許遠端攻擊者透過 COBRA 元件中的瑕疵發動拒絕服務攻擊。(CVE-2013-5896)

- Oracle Java 中的弱點允許透過 2D 元件中的瑕疵執行遠端程式碼。
 (CVE-2013-5907)

- Oracle Java 的 Networking 元件中存在一個資訊洩漏和安全性繞過瑕疵。(CVE-2014-0368)

- Oracle Java 中的弱點允許遠端攻擊者透過 Serviceability 元件中的瑕疵繞過安全性功能。(CVE-2014-0373)

- Oracle Java 中的弱點允許遠端攻擊者透過 JAXP 元件中的瑕疵繞過安全性功能。(CVE-2014-0376)

- Oracle Java 中的資訊洩漏瑕疵允許遠端攻擊者透過 JSSE 元件中的瑕疵，存取加密金鑰相關資訊。
 (CVE-2014-0411)

- Oracle Java 中的弱點允許遠端攻擊者透過 JAAS 元件中的瑕疵繞過安全性功能。(CVE-2014-0416)

- Oracle Java 中存在一個不明弱點，是因 2D 元件中的瑕疵所導致。(CVE-2014-0417)

- Oracle Java 中的弱點允許透過 JNDI 元件中的瑕疵執行遠端程式碼。
 (CVE-2014-0422)

- 讀取 XML 資料時，Oracle Java 的 Beans 元件中存在一個資訊洩漏和拒絕服務瑕疵。(CVE-2014-0423)

- Oracle Java 中的弱點允許透過 COBRA 元件中的瑕疵執行遠端程式碼。
 (CVE-2014-0428)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
71984	Oracle Linux 6 : java-1.7.0-openjdk (ELSA-2014-0026)	Nessus	Oracle Linux Local Security Checks	2014/1/16	2021/1/14	critical
71987	RHEL 5 / 6：java-1.7.0-oracle (RHSA-2014:0030)	Nessus	Red Hat Local Security Checks	2014/1/16	2024/4/24	medium
72055	Mandriva Linux 安全性公告：java-1.7.0-openjdk (MDVSA-2014:011)	Nessus	Mandriva Local Security Checks	2014/1/21	2021/1/6	critical
72117	Ubuntu 12.10 / 13.04 / 13.10：openjdk-7 弱點 (USN-2089-1)	Nessus	Ubuntu Local Security Checks	2014/1/24	2021/1/19	critical
72161	RHEL 5 / 6：java-1.6.0-openjdk (RHSA-2014:0097)	Nessus	Red Hat Local Security Checks	2014/1/28	2021/1/14	medium
72301	Amazon Linux AMI : java-1.6.0-openjdk (ALAS-2014-283)	Nessus	Amazon Linux Local Security Checks	2014/2/5	2018/4/18	critical
72423	SuSE 11.3 安全性更新：openjdk (SAT 修補程式編號 8874)	Nessus	SuSE Local Security Checks	2014/2/11	2021/1/19	critical
75413	openSUSE 安全性更新：java-1_7_0-openjdk (openSUSE-SU-2014:0174-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
75414	openSUSE 安全性更新：java-1_7_0-openjdk (openSUSE-SU-2014:0180-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
76871	AIX Java 公告：java_jan2014_advisory.asc	Nessus	AIX Local Security Checks	2014/7/28	2023/4/21	critical

検出

プラグインの検索

critical

medium

critical

critical

medium

critical

critical

critical

critical

critical