安全性修正：- 在 OpenJDK 的 RMI 和 Hotspot 元件中發現多個缺陷。未受信任的 Java 應用程式或 applet 可利用這些缺陷完全繞過 Java Sandbox 限制。(CVE-2017-10285、CVE-2017-10346) - 據發現，OpenJDK 的 Libraries 元件中的 Kerberos 用戶端實作使用了純文字部分的 sname 欄位，而不是使用 KDC 回覆訊息的加密部分。攔截式攻擊者可能會利用此缺陷，模擬 Kerberos 服務到 Java 應用程式，充當 Kerberos 用戶端。(CVE-2017-10388) - 據發現，OpenJDK 的 Security 元件產生弱密碼加密金鑰，用來保護儲存在金鑰存放庫的私密金鑰。如果攻擊者可存取金鑰存放庫，就能輕鬆執行密碼猜測攻擊，來解密儲存的金鑰。(CVE-2017-10356) - OpenJDK 的 Smart Card IO 元件中發現一個缺陷。未受信任的 Java 應用程式或 applet 可利用此缺陷，繞過特定 Java Sandbox 限制。(CVE-2017-10274) - 據發現，OpenJDK 的 Networking 元件的 FtpClient 實作並未設定預設連線和讀取逾時。惡意 FTP 伺服器或攔截式攻擊者可利用此缺陷阻止連線至 FTP 伺服器的 Java 應用程式執行。(CVE-2017-10355) - 據發現，OpenJDK 的 Networking 元件的 HttpURLConnection 和 HttpsURLConnection 類別無法檢查內嵌於 URL 中的新行字元。能使用攻擊者提供的 URL 讓 Java 應用程式執行 HTTP 要求的攻擊者，可能會插入其他標頭到要求中。(CVE-2017-10295) - 據發現，OpenJDK 中 JAXP、Serialization、Libraries 和 JAX-WS 元件中的多個類別在從序列化表單建立物件執行個體時，未限制配置的記憶體數量。特製的輸入可造成 Java 應用程式在還原序列化時使用過量記憶體。(CVE-2017-10349、CVE-2017-10357、CVE-2017-10347、CVE-2017-10281、CVE-2017-10345、CVE-2017-10348、CVE-2017-10350) 注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能會在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

偵測

Scientific Linux 安全性更新：SL6.x、SL7.x i386/x86_64 上的 java-1.8.0-openjdk

critical Nessus Plugin ID 104093

版本 3.10