Ubuntu 16.04 LTS:OpenJDK 8 弱點 (USN-3613-1)

high Nessus Plugin ID 108793

概要

遠端 Ubuntu 主機缺少一個或多個安全性更新。

說明

據發現,OpenJDK 核心中的密碼編譯實作存在爭用情形。攻擊者可能利用此弱點洩露敏感資訊。(CVE-2018-2579)

據發現,OpenJDK 的 Hotspot 元件未正確驗證 invokeinterface JVM 指令的使用。攻擊者可能會利用此弱點存取未獲授權的資源。
(CVE-2018-2582)

據發現,OpenJDK 中的 LDAP 實作未正確編碼登入名稱。遠端攻擊者可能會利用此弱點洩漏敏感資訊。(CVE-2018-2588)

據發現,OpenJDK 中的 DNS 用戶端實作未正確隨機化來源通訊埠。遠端攻擊者可利用此弱點偽造 Java 應用程式進行的 DNS 查詢回應。
(CVE-2018-2599)

據發現,OpenJDK 的 Internationalization 元件在載入資源組合類別時,未限制搜尋路徑。本機攻擊者可利用此弱點誘騙使用者執行惡意程式碼。(CVE-2018-2602)

據發現,OpenJDK 在剖析 DER 輸入時,未正確限制記憶體配置。遠端攻擊者可能會利用此弱點造成拒絕服務。(CVE-2018-2603)

據發現,OpenJDK 中的 Java Cryptography Extension (JCE) 實作在某些情況下,未保證金鑰協議期間的金鑰足夠強度。攻擊者可利用此弱點洩漏敏感資訊。(CVE-2018-2618)

據發現,OpenJDK 中的 Java GSS 實作在某些情況下,未正確處理原生 GSS 程式庫中的 GSS 內容。攻擊者可能會利用此弱點存取未獲授權的資源。(CVE-2018-2629)

據發現,OpenJDK 中的 LDAP 實作在某些情況下,未正確處理 LDAP 轉介。攻擊者可能會利用此弱點洩漏敏感資訊或取得未授權的權限。(CVE-2018-2633)

據發現,OpenJDK 中的 Java GSS 實作在某些情況下,未正確套用主體憑證。攻擊者可能會利用此弱點洩漏敏感資訊或取得未授權的資源。(CVE-2018-2634)

據發現,OpenJDK 的 Java Management Extensions (JMX) 元件在某些情況下,未正確套用解除序列化篩選器。攻擊者可利用此弱點來繞過解除序列化限制。(CVE-2018-2637)

據發現,OpenJDK 的 AWT 元件在載入 GTK 程式庫時存在釋放後使用弱點。攻擊者可能會利用此弱點執行任意程式碼,並繞過 Java 沙箱限制。(CVE-2018-2641)

據發現,在某些情況下,當 OpenJDK 執行解除序列化時,未正確驗證物件。攻擊者可利用此弱點造成拒絕服務 (應用程式損毀或過度記憶體消耗)。(CVE-2018-2663)

據發現,OpenJDK 的 AWT 元件在解除序列化某些物件時,未正確限制配置的記憶體量。攻擊者可利用此弱點造成拒絕服務 (過度記憶體消耗)。(CVE-2018-2677)

據發現,在某些情況下,當 OpenJDK 的 JNDI 元件解除序列化物件時,未正確限制配置的記憶體量。攻擊者可利用此弱點造成拒絕服務 (過度記憶體消耗)。(CVE-2018-2678)

請注意,Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下,嘗試自動清理並將其格式化。

解決方案

更新受影響的套件。

另請參閱

https://ubuntu.com/security/notices/USN-3613-1

Plugin 詳細資訊

嚴重性: High

ID: 108793

檔案名稱: ubuntu_USN-3613-1.nasl

版本: 1.6

類型: local

代理程式: unix

已發布: 2018/4/3

已更新: 2023/10/20

支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

風險資訊

VPR

風險因素: High

分數: 7.3

CVSS v2

風險因素: Medium

基本分數: 5.8

時間分數: 4.3

媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N

CVSS 評分資料來源: CVE-2018-2637

CVSS v3

風險因素: High

基本分數: 8.3

時間分數: 7.2

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

CVSS 評分資料來源: CVE-2018-2633

弱點資訊

CPE: p-cpe:/a:canonical:ubuntu_linux:openjdk-8-jdk, p-cpe:/a:canonical:ubuntu_linux:openjdk-8-jdk-headless, p-cpe:/a:canonical:ubuntu_linux:openjdk-8-jre, p-cpe:/a:canonical:ubuntu_linux:openjdk-8-jre-headless, p-cpe:/a:canonical:ubuntu_linux:openjdk-8-jre-jamvm, p-cpe:/a:canonical:ubuntu_linux:openjdk-8-jre-zero, p-cpe:/a:canonical:ubuntu_linux:openjdk-8-source, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:openjdk-8-demo

必要的 KB 項目: Host/cpu, Host/Ubuntu, Host/Ubuntu/release, Host/Debian/dpkg-l

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2018/4/2

弱點發布日期: 2018/1/18

參考資訊

CVE: CVE-2018-2579, CVE-2018-2582, CVE-2018-2588, CVE-2018-2599, CVE-2018-2602, CVE-2018-2603, CVE-2018-2618, CVE-2018-2629, CVE-2018-2633, CVE-2018-2634, CVE-2018-2637, CVE-2018-2641, CVE-2018-2663, CVE-2018-2677, CVE-2018-2678

USN: 3613-1