遠端 MiracleLinux 7 主機已安裝受到多個弱點影響的套件如 AXSA:2017-2478:04 公告中所提及。

    * 在 OpenJDK 中的 RMI 和 Hotspot 元件內發現多種缺陷。未受信任的 Java 應用程式或 applet 可利用這些缺陷完全繞過 Java Sandbox 限制。
    (CVE-2017-10285、CVE-2017-10346)
      * 據發現，OpenJDK 的 Libraries 元件中的 Kerberos 用戶端實作使用了純文字部分的 sname 欄位，而不是使用 KDC 回覆訊息的加密部分。攔截式攻擊者可能利用此缺陷模擬 Kerberos 服務到 Java 應用程式充當 Kerberos 用戶端。 (CVE-2017-10388)
      * 據發現，OpenJDK 的 Security 元件產生弱密碼加密金鑰，用來保護儲存在金鑰存放庫的私密金鑰。如果攻擊者可取得金鑰存放庫的存取權這會讓攻擊者更容易執行密碼猜測攻擊來解密儲存的金鑰。 (CVE-2017-10356)
      * 在 OpenJDK 的 Smart Card IO 元件和 Security 元件內發現多個缺陷。未受信任的 Java 應用程式或 applet 可利用這些缺陷，繞過特定 Java Sandbox 限制。(CVE-2017-10274、CVE-2017-10193)
      * 據發現，OpenJDK 的 Networking 元件的 FtpClient 實作並未設定預設連線和讀取逾時。惡意 FTP 伺服器或攔截式攻擊者可利用此瑕疵封鎖連線至 FTP 伺服器的 Java 應用程式執行。 (CVE-2017-10355)
      * 據發現，OpenJDK 的 Networking 元件的 HttpURLConnection 和 HttpsURLConnection 類別無法檢查內嵌於 URL 中的新行字元。能夠讓 Java 應用程式使用攻擊者提供的 URL 執行 HTTP 要求的攻擊者可能在要求中插入其他標頭。 (CVE-2017-10295)
      * 據發現，OpenJDK 的 Security 元件未正確實施針對 X.509 憑證鏈處理作業所定義的限制。遠端攻擊者可能利用此缺陷使 Java 接受使用其中一個已停用演算法的憑證。 (CVE-2017-10198)
      * 據發現，OpenJDK 中 JAXP、Serialization、Libraries 和 JAX-WS 元件中的多個類別在從序列化表單建立物件執行個體時，未限制配置的記憶體數量。特製的輸入可造成 Java 應用程式在還原序列化時使用過量記憶體。 (CVE-2017-10349、 CVE-2017-10357、 CVE-2017-10347、 CVE-2017-10281、 CVE-2017-10345、 CVE-2017-10348、 CVE-2017-10350) 錯誤修正
      * 在之前，OpenJDK 無法處理核心在讀取時被阻止的情況，即使輪詢通訊端表示可以讀取。因此，OpenJDK 可能會無限懸置。透過此更新OpenJDK 會以逾時值輪詢並在成功執行非封鎖讀取因此在這些情況下不會再懸置。 (BZ#1508357) CVE-2017-10193 Oracle Java SE 的 Java SE、Java SE Embedded 元件中存有一個弱點 (子元件Security)。受影響的支援版本是 Java SE：6u151、7u141 和 8u131；Java SE Embedded：8u131。
    攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若要成功攻擊，必須有攻擊者以外之他人的互動。若成功攻擊此弱點，未經授權即可讀取 Java SE、Java SE Embedded 可存取資料的子集。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 3.1 (機密性影響)。CVSS 向量：
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N)。
    CVE-2017-10198 Oracle Java SE 的 Java SE、Java SE Embedded、JRockit 元件中存有弱點 (子元件Security)。受影響的支援版本是 Java SE6u151、7u141 和 8u131 Java SE Embedded8u131
    JRockit R28.3.14. 難以惡意利用的弱點允許具有網路存取權的未經驗證的攻擊者透過多個通訊協定來入侵 Java SE、Java SE Embedded、JRockit。雖然弱點是在 Java SE、Java SE Embedded、JRockit 中，但攻擊可能會顯著影響其他的產品。若成功攻擊此弱點，未經授權即可存取重要資料，或完整存取所有 Java SE、Java SE Embedded、JRockit 可存取資料。注意：此弱點可透過沙箱 Java Web Start 應用程式和沙箱 Java applet 來加以惡意利用。也可以透過提供資料給指定元件的 API 來利用此弱點，而不使用沙箱化 Java Web Start 應用程式或是沙箱化 Java Applet (例如透過 Web 服務)。CVSS 3.0 Base Score 6.8 (機密性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N)。
    CVE-2017-10274 Oracle Java SE 的 Java SE 元件中存有弱點 (子元件Smart Card IO)。受影響的支援版本是 Java SE：6u161、7u151、8u144 和 9。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Java SE。若要成功攻擊，必須有攻擊者以外之他人的互動。成功攻擊此弱點可導致未經授權便能建立、刪除或修改重要資料或所有可供存取之 Java SE 資料的存取權，以及未經授權地存取重要資料或能完全存取所有 Java SE 的可存取資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 6.8 (機密性和完整性影響)。CVSS 向量：
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N)。
    CVE-2017-10281 Oracle Java SE 的 Java SE、Java SE Embedded、JRockit 元件中存有弱點 (子元件Serialization)。受影響的支援版本是 Java SE6u161、7u151、8u144 和 9 Java SE Embedded
    8u144 JRockit R28.3.15. 易於惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded、JRockit。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded、JRockit 部分拒絕服務 (部分 DOS)。注意：此弱點可透過沙箱 Java Web Start 應用程式和沙箱 Java applet 來加以惡意利用。也可以透過提供資料給指定元件的 API 來利用此弱點，而不使用沙箱化 Java Web Start 應用程式或是沙箱化 Java Applet (例如透過 Web 服務)。CVSS 3.0 Base Score 5.3 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)。
    CVE-2017-10285 Oracle Java SE 的 Java SE、Java SE Embedded 元件中存有一個弱點 (子元件RMI)。受影響的支援版本是 Java SE：6u161、7u151、8u144 和 9；Java SE Embedded：8u144。易於惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來入侵 Java SE、Java SE Embedded。
    若要成功攻擊，必須有攻擊者以外之他人的互動，且雖然弱點位於 Java SE、Java SE Embedded 中，但攻擊可能對其他產品造成重大影響。
    成功攻擊此弱點可導致接管 Java SE、Java SE Embedded。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 9.6 (機密性、完整性和可用性影響)。CVSS 向量：
    (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H)。
    CVE-2017-10295 Oracle Java SE 的 Java SE、Java SE Embedded、JRockit 元件中存有弱點 (子元件Networking)。受影響的支援版本是 Java SE6u161、7u151、8u144 和 9 Java SE Embedded
    8u144 JRockit R28.3.15. 攻擊此弱點具有難度，它允許未經驗證的攻擊者經由 HTTP 存取網路，進而破壞 Java SE、Java SE Embedded、JRockit。雖然弱點是在 Java SE、Java SE Embedded、JRockit 中，但攻擊可能會顯著影響其他的產品。若成功攻擊此弱點，未經授權即可更新、插入或刪除某些 Java SE、Java SE Embedded、 JRockit 可存取資料的存取權。注意：此弱點可透過沙箱 Java Web Start 應用程式和沙箱 Java applet 來加以惡意利用。也可以透過提供資料給指定元件的 API 來利用此弱點，而不使用沙箱化 Java Web Start 應用程式或是沙箱化 Java Applet (例如透過 Web 服務)。CVSS 3.0 Base Score 4.0 (完整性影響)。
    CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:L/A:N)。
    CVE-2017-10345 Oracle Java SE 的 Java SE、Java SE Embedded、JRockit 元件中存有弱點 (子元件Serialization)。受影響的支援版本是 Java SE6u161、7u151、8u144 和 9 Java SE Embedded
    8u144 JRockit R28.3.15. 難以惡意利用的弱點允許具有網路存取權的未經驗證的攻擊者透過多個通訊協定來入侵 Java SE、Java SE Embedded、JRockit。若要成功攻擊，必須有攻擊者以外之他人的互動。
    成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded、JRockit 部分拒絕服務 (部分 DOS)。注意：此弱點可透過沙箱 Java Web Start 應用程式和沙箱 Java applet 來加以惡意利用。也可以透過提供資料給指定元件的 API 來利用此弱點，而不使用沙箱化 Java Web Start 應用程式或是沙箱化 Java Applet (例如透過 Web 服務)。
    CVSS 3.0 Base Score 3.1 (可用性影響)。CVSS 向量：
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L)。
    CVE-2017-10346 Oracle Java SE 的 Java SE、Java SE Embedded 元件中存有一個弱點 (子元件Hotspot)。受影響的支援版本是 Java SE：6u161、7u151、8u144 和 9；Java SE Embedded：8u144。
    易於惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來入侵 Java SE、Java SE Embedded。若要成功攻擊，必須有攻擊者以外之他人的互動，且雖然弱點位於 Java SE、Java SE Embedded 中，但攻擊可能對其他產品造成重大影響。成功攻擊此弱點可導致接管 Java SE、Java SE Embedded。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 9.6 (機密性、完整性和可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H)。
    CVE-2017-10347 Oracle Java SE 的 Java SE、JRockit 元件中存有弱點 (子元件Serialization)。受影響的支援版本是 Java SE：6u161、7u151、8u144 和 9；Java SE Embedded：8u144。
    易於惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來入侵 Java SE、JRockit。
    成功攻擊此弱點可導致未經授權即可造成 Java SE、JRockit 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 5.3 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)。
    CVE-2017-10348 Oracle Java SE 的 Java SE、Java SE Embedded 元件中存有弱點 (子元件Libraries)。受影響的支援版本是 Java SE6u161、7u151、8u144 和 9 Java SE Embedded
    8u144。此弱點較易攻擊，能夠透過多個通訊協定存取網路的未經驗證攻擊者可藉此入侵 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 5.3 (可用性影響)。CVSS 向量：
    (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)。
    CVE-2017-10349 Oracle Java SE 的 Java SE、Java SE Embedded 元件中存有弱點 (子元件JAXP)。受影響的支援版本是 Java SE：6u161、7u151、8u144 和 9；Java SE Embedded：8u144。易於惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來入侵 Java SE、Java SE Embedded。
    成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 5.3 (可用性影響)。CVSS 向量：
    (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)。
    CVE-2017-10350 Oracle Java SE 的 Java SE、Java SE Embedded 元件中存有弱點 (子元件JAX-WS)。受影響的支援版本是 Java SE：7u151、8u144 和 9；Java SE Embedded：8u144。易於惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來入侵 Java SE、Java SE Embedded。
    成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 5.3 (可用性影響)。CVSS 向量：
    (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)。
    CVE-2017-10355 Oracle Java SE 的 Java SE、Java SE Embedded、JRockit 元件中存有弱點 (子元件Networking)。受影響的支援版本是 Java SE6u161、7u151、8u144 和 9 Java SE Embedded
    8u144 JRockit R28.3.15. 易於惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded、JRockit。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded、JRockit 部分拒絕服務 (部分 DOS)。注意：此弱點可透過沙箱 Java Web Start 應用程式和沙箱 Java applet 來加以惡意利用。也可以透過提供資料給指定元件的 API 來利用此弱點，而不使用沙箱化 Java Web Start 應用程式或是沙箱化 Java Applet (例如透過 Web 服務)。CVSS 3.0 Base Score 5.3 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)。
    CVE-2017-10356 Oracle Java SE 的 Java SE、Java SE Embedded、JRockit 元件中存有弱點 (子元件Security)。受影響的支援版本是 Java SE6u161、7u151、8u144 和 9 Java SE Embedded
    8u144 JRockit R28.3.15. 此弱點較易攻擊，它允許未經驗證的攻擊者登入 Java SE、Java SE Embedded、JRockit 執行所在的基礎結構，進而破壞 Java SE、Java SE Embedded、JRockit。若成功攻擊此弱點，未經授權即可存取重要資料，或完整存取所有 Java SE、Java SE Embedded、JRockit 可存取資料。注意：此弱點可透過沙箱 Java Web Start 應用程式和沙箱 Java applet 來加以惡意利用。也可以透過提供資料給指定元件的 API 來利用此弱點，而不使用沙箱化 Java Web Start 應用程式或是沙箱化 Java Applet (例如透過 Web 服務)。CVSS 3.0 Base Score 6.2 (機密性影響)。CVSS 向量：(CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)。
    CVE-2017-10357 Oracle Java SE 的 Java SE、Java SE Embedded 元件中存有一個弱點 (子元件Serialization)。受影響的支援版本是 Java SE6u161、7u151、8u144 和 9 Java SE Embedded
    8u144。此弱點較易攻擊，能夠透過多個通訊協定存取網路的未經驗證攻擊者可藉此入侵 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 5.3 (可用性影響)。CVSS 向量：
    (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)。
    CVE-2017-10388 Oracle Java SE 的 Java SE、Java SE Embedded 元件中存有弱點 (子元件Libraries)。受影響的支援版本是 Java SE6u161、7u151、8u144 和 9 Java SE Embedded
    8u144。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過 Kerberos 來危害 Java SE、Java SE Embedded。若要成功攻擊，必須有攻擊者以外之他人的互動。成功攻擊此弱點可導致接管 Java SE、Java SE Embedded。
    注意：適用於 Java SE Kerberos 用戶端。CVSS 3.0 Base Score 7.5 (機密性、完整性和可用性影響)。CVSS 向量：
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 7 java-1.7.0-openjdk-1.7.0.161-2.6.12.0.0.1.el7.AXS7 (AXSA:2017-2478:04)

critical Nessus Plugin ID 289420

找不到依附元件