IBM Java 6.0 < 6.0.16.20 / 6.1 < 6.1.8.20 / 7.0 < 7.0.9.30 / 7.1 < 7.1.3.30 / 8.0 < 8.0.2.10 多個弱點 (2016 年 1 月 19 日)

high Nessus Plugin ID 160338

語系：

概要

IBM Java 受到多個弱點影響。

說明

遠端主機上安裝的 IBM Java 版本為 6.0 < 6.0.16.20 / 6.1 < 6.1.8.20 / 7.0 < 7.0.9.30 / 7.1 < 7.1.3.30 / 8.0 < 8.0.2.10。因此，其會受到 2016 年 1 月 19 日 Oracle CPU 公告中提及的多個弱點影響。

- Mozilla Network Security Services (NSS) 3.20.2 之前版本 (用於 Mozilla Firefox 43.0.2 之前版本和 Firefox ESR 38.x 至 38.5.2 版本) 不會拒絕 TLS 1.2 交握通訊協定流量中伺服器金鑰交換訊息中的 MD5 簽章，進而導致攔截式攻擊者更容易透過觸發衝突來欺騙伺服器。(CVE-2015-7575)

- 在 libpng 1.0.64 之前版本、1.1.x、1.2.x 至 1.2.54 、1.3.x、1.4.x 至 1.4.17、1.5.x 至 1.5.24 以及 1.6.x 至 1.6.19 版本中，(1) png_set_PLTE 與 (2) png_get_PLTE 函式內有多個緩衝區溢位弱點，進而允許遠端攻擊者透過 PNG 影像中 IHDR (亦即影像標頭) 區塊的小位元深度值，造成拒絕服務 (應用程式損毀) 或其他不明影響。(CVE-2015-8126)

- 在 libpng 1.0.65 之前版本、1.1.x、1.2.x 至 1.2.55、1.3.x、1.4.x 至 1.4.18、1.5.x 至 1.5.25 以及 1.6.x 至 1.6.20 版本中，png_set_PLTE 函式內有緩衝區溢位弱點，進而允許遠端攻擊者透過 PNG 影像中 IHDR (即影像標頭) 區塊的小位元深度值，造成拒絕服務 (應用程式損毀) 或其他不明影響。注意：此弱點是 CVE-2015-8126 的修正不完整所致。(CVE-2015-8472)

- Oracle Java SE 6u105、7u91 與 8u66 及 Java SE Embedded 8u65 中 Java SE 與 Java SE Embedded 元件中的不明弱點，允許遠端攻擊者透過與網路連線相關的不明向量破壞完整性。(CVE-2016-0402)

- Oracle Java SE 6u105、7u91 與 8u66 及 Java SE Embedded 8u65 中 Java SE 與 Java SE Embedded 元件中的不明弱點，允許經驗證的遠端使用者透過與 JMX 相關的向量破壞機密性。(CVE-2016-0448)

- Oracle Java SE 6u105、7u91 與 8u66 的 Java SE、Java SE Embedded 8u65 的 Java SE Embedded，以及 JRockit R28.3.8 中的 JRockit 元件中存在不明弱點，遠端攻擊者可利用此弱點透過與 JAXP 相關的向量破壞可用性。(CVE-2016-0466)

- Oracle Java SE 8u66、
Java SE Embedded 8u65、 JRockit R28.3.8 的 Java SE、Java SE Embedded 和 JRockit 元件中有不明弱點，進而允許遠端攻擊者透過與程式庫相關的未知向量破壞機密性和完整性。(CVE-2016-0475)

- Oracle Java SE 6u105、7u91、8u66 及 Java SE Embedded 8u65 以及 JRockit R28.3.8 中的不明弱點允許遠端攻擊者透過與 AWT 相關的向量破壞機密性、完整性與可用性。注意：前述資訊來自 2016 年 1 月 CPU。Oracle 尚未在第三方宣告中提供註解，指出這是 readImage 函式中的一個堆積型緩衝區溢位問題，且該弱點允許遠端攻擊者透過特製的影像資料執行任意程式碼。(CVE-2016-0483)

- Oracle Java SE 6u105、7u91 與 8u66 及 Java SE Embedded 8u65 中的 Java SE 與 Java SE Embedded 元件中的不明弱點允許遠端攻擊者透過與 2D 相關的不明向量影響機密性、完整性與可用性。(CVE-2016-0494)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。