Jan Jancar、Petr Svenda 和 Vladimir Sedlacek 發現，OpenJDK 的 ECDSA 實作中有一個旁路弱點。
攻擊者可利用此弱點洩漏敏感資訊。
(CVE-2019-2894)

據發現，OpenJDK 中的 Socket 實作未正確限制以自訂 Socket 實作建立子類別的作業。攻擊者可利用此弱點，特別建立可能會繞過 Java 沙箱限制的 Java 類別。
(CVE-2019-2945)

Rob Hamm 發現，OpenJDK 中的 Kerberos 實作未正確處理 proxy 認證。攻擊者可能利用此問題偽造其他使用者。(CVE-2019-2949)

據發現，OpenJDK 中的字型處理實作有一個 NULL 指標解除參照問題。攻擊者可利用此問題造成拒絕服務 (應用程式損毀)。(CVE-2019-2962)

據發現，OpenJDK 中的 Concurrency 子系統未在編譯規則運算式時，正確限制堆疊消耗。
攻擊者可利用此問題造成拒絕服務 (應用程式損毀)。(CVE-2019-2964)

據發現，在某些情況下，OpenJDK 中的 JAXP 子系統未正確處理 XPath 運算式。攻擊者可利用此問題造成拒絕服務 (應用程式損毀)。(CVE-2019-2973、CVE-2019-2981)

據發現，在某些情況下，OpenJDK 中的 Nashorn JavaScript 子元件未正確處理規則運算式。攻擊者可利用此問題造成拒絕服務 (應用程式損毀)。(CVE-2019-2975)

據發現，OpenJDK 中的 String 類別有一個超出邊界存取弱點。攻擊者可利用此問題造成拒絕服務 (應用程式損毀)，或可能洩漏敏感資訊。此問題僅影響了 Ubuntu 18.04 LTS、Ubuntu 19.04 和 Ubuntu 19.10 中的 OpenJDK 11。(CVE-2019-2977)

據發現，在某些情況下，OpenJDK 中的 Jar URL 處理常式未正確處理巢狀 Jar URL。攻擊者可利用此問題造成拒絕服務 (應用程式損毀)。(CVE-2019-2978)

據發現，OpenJDK 中的 Serialization 元件未正確處理某些物件屬性的還原序列化。攻擊者可利用此問題造成拒絕服務 (應用程式損毀)。(CVE-2019-2983)

據發現，OpenJDK 中的 FreetypeFontScaler 類別未正確驗證從字型檔案讀取的 glyph 點陣圖影像尺寸。攻擊者可特製會造成拒絕服務 (應用程式損毀) 的字型檔案。(CVE-2019-2987)

據發現，OpenJDK 的 SunGraphics2D 類別中有一個緩衝區溢位問題。攻擊者可能利用此弱點造成拒絕服務 (過度記憶體消耗或應用程式損毀)。
(CVE-2019-2988)

據發現，OpenJDK 中的 Networking 元件未正確處理來自 HTTP proxy 的特定回應。控制惡意 HTTP Proxy 的攻擊者可能利用此問題將內容插入代理的 HTTP 連線。(CVE-2019-2989)

據發現，在某些情況下，OpenJDK 中的字型處理實作未正確驗證 TrueType 字型檔案。攻擊者可特製會造成拒絕服務 (過度記憶體消耗) 的字型檔案。(CVE-2019-2992)

據發現，OpenJDK 中的 JavaDoc 產生器未正確篩除某些 HTML 元素，包括 Java 原始碼中的文件註釋。攻擊者可能藉此精心策劃跨網站指令碼攻擊。(CVE-2019-2999)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Ubuntu 16.04 LTS / 18.04 LTS：OpenJDK 弱點 (USN-4223-1)

medium Nessus Plugin ID 132240

版本 1.7