RHEL 7:java-1.8.0-ibm (RHSA-2020: 5585)

high Nessus Plugin ID 144387

Synopsis

遠端 Red Hat 主機缺少一個或多個安全性更新。

描述

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 5585 公告中提及的多個弱點影響。

- IBM JDK:透過呼叫長度無效的 System.arraycopy() 造成資訊洩漏 (CVE-2019-17639)

- OpenJDK:未正確處理 ForkJoinPool 中的存取控制內容 (Libraries,8237117) (CVE-2020-14556)

- OpenJDK:HostnameChecker 未確保 X.509 憑證名稱為標準化形式 (JSSE,8237592) (CVE-2020-14577)

- OpenJDK:DerInputStream 引發的意外異常 (Libraries,8237731) (CVE-2020-14578)

- OpenJDK:DerValue.equals() 引發的意外異常 (Libraries, 8237736) (CVE-2020-14579)

- OpenJDK:透過並行存取繞過 nio.Buffer 中的邊界檢查 (Libraries,8238920) (CVE-2020-14583)

- OpenJDK:仿射轉換中的邊界檢查不完整 (2D,8240119) (CVE-2020-14593)

- OpenJDK:use-grammar-pool-only 功能應用不完整導致的 XML 驗證操控 (JAXP,8242136) (CVE-2020-14621)

- OpenJDK:對具有許多介面的 Proxy 類別進行還原序列化時,記憶體使用率過高 (序列化,8236862) (CVE-2020-14779)

- OpenJDK:路徑到 URI 轉換中缺少權限檢查 (程式庫,8242680) (CVE-2020-14796)

- OpenJDK:未完全檢查 URI 到路徑轉換中的無效字元 (程式庫,8242685) (CVE-2020-14797)

- OpenJDK:在 GssKrb5Base 中不正確的檢查 SASL 訊息屬性 (Security, 8226352) (CVE-2020-2590)

- OpenJDK:在 Kerberos TGS 中使用不安全的 RSA-MD5 總和檢查碼 (Security,8229951) (CVE-2020-2601)

請注意,Nessus 並未測試此問題,而是僅依據應用程式自我報告的版本號碼。

解決方案

更新受影響的套件。

另請參閱

https://cwe.mitre.org/data/definitions/20.html

https://cwe.mitre.org/data/definitions/119.html

https://cwe.mitre.org/data/definitions/200.html

https://cwe.mitre.org/data/definitions/248.html

https://cwe.mitre.org/data/definitions/327.html

https://cwe.mitre.org/data/definitions/770.html

https://access.redhat.com/security/cve/CVE-2019-17639

https://access.redhat.com/security/cve/CVE-2020-2590

https://access.redhat.com/security/cve/CVE-2020-2601

https://access.redhat.com/security/cve/CVE-2020-14556

https://access.redhat.com/security/cve/CVE-2020-14577

https://access.redhat.com/security/cve/CVE-2020-14578

https://access.redhat.com/security/cve/CVE-2020-14579

https://access.redhat.com/security/cve/CVE-2020-14583

https://access.redhat.com/security/cve/CVE-2020-14593

https://access.redhat.com/security/cve/CVE-2020-14621

https://access.redhat.com/security/cve/CVE-2020-14779

https://access.redhat.com/security/cve/CVE-2020-14796

https://access.redhat.com/security/cve/CVE-2020-14797

https://access.redhat.com/errata/RHSA-2020:5585

https://bugzilla.redhat.com/1790556

https://bugzilla.redhat.com/1790570

https://bugzilla.redhat.com/1856448

https://bugzilla.redhat.com/1856784

https://bugzilla.redhat.com/1856885

https://bugzilla.redhat.com/1856896

https://bugzilla.redhat.com/1856988

https://bugzilla.redhat.com/1856991

https://bugzilla.redhat.com/1856995

https://bugzilla.redhat.com/1866497

https://bugzilla.redhat.com/1889271

https://bugzilla.redhat.com/1889697

https://bugzilla.redhat.com/1889717

Plugin 詳細資訊

嚴重性: High

ID: 144387

檔案名稱: redhat-RHSA-2020-5585.nasl

版本: 1.8

類型: local

代理程式: unix

已發布: 2020/12/18

已更新: 2022/5/11

支持的傳感器: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent

風險資訊

CVSS 評分資料來源: CVE-2020-14556

VPR

風險因素: High

分數: 7.3

CVSS v2

風險因素: Medium

基本分數: 5.8

時間分數: 4.3

媒介: AV:N/AC:M/Au:N/C:P/I:P/A:N

時間媒介: E:U/RL:OF/RC:C

CVSS v3

風險因素: High

基本分數: 8.3

時間分數: 7.2

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

時間媒介: E:U/RL:O/RC:C

弱點資訊

CPE: cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:java-1.8.0-ibm, p-cpe:/a:redhat:enterprise_linux:java-1.8.0-ibm-demo, p-cpe:/a:redhat:enterprise_linux:java-1.8.0-ibm-devel, p-cpe:/a:redhat:enterprise_linux:java-1.8.0-ibm-jdbc, p-cpe:/a:redhat:enterprise_linux:java-1.8.0-ibm-plugin, p-cpe:/a:redhat:enterprise_linux:java-1.8.0-ibm-src

必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2020/12/16

弱點發布日期: 2020/1/14

參考資訊

CVE: CVE-2019-17639, CVE-2020-2590, CVE-2020-2601, CVE-2020-14556, CVE-2020-14577, CVE-2020-14578, CVE-2020-14579, CVE-2020-14583, CVE-2020-14593, CVE-2020-14621, CVE-2020-14779, CVE-2020-14796, CVE-2020-14797

RHSA: 2020:5585

CWE: 20, 119, 200, 248, 327, 770