MiracleLinux 3：java-1.6.0-openjdk-1.6.0.0-1.41.1.11.11.90.0.1.AXS3 (AXSA:2013-553:03)
critical Nessus Plugin ID 291498
語言:
概要
遠端 MiracleLinux 主機缺少一個或多個安全性更新。說明
遠端 MiracleLinux 3 主機中安裝的套件受到 AXSA:2013-553:03 公告中提及的多個弱點影響。OpenJDK 執行階段環境。
在此版本中修正的安全性問題：
CVE-2013-1500 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許本機使用者透過與 2D 相關的不明向量影響應用的機密性與完整性。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱此問題與共用記憶體的弱式權限有關，Oracle 尚未對此發表任何評論。
CVE-2013-1571 在 Oracle Java SE 7 Update 21 與先前的版本、6 Update 45 與先前的版本以及 5.0 Update 45 與先前的版本；JavaFX 2.2.21 與先前的版本；以及 OpenJDK 7 中，Javadoc 元件內有一個不明弱點，允許遠端攻擊者經由與 Javadoc 相關之不明向量影響完整性。注意：前述資訊來自 2013 年 6 月 CPU。Oracle 尚未針對由其他供應商所提出之宣告提供註解，宣告指出，此問題與 Javadoc 產生之 HTML 中的框架插入有關。
CVE-2013-2407 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 Libraries 相關的不明向量影響應用的機密性與可用性。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱此問題與 XML 安全性和類別載入器有關，Oracle 尚未對此發表任何評論。
CVE-2013-2412 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與服務性相關的不明向量影響應用的機密性。注意：前述資訊來自 2013 年 6 月 CPU。
其他供應商聲稱，此問題與 JConsole 未充分指示 SSL 連線失敗 (與 RMI 連線對話方塊有關) 有關，但 Oracle 尚未對此發表任何評論。
CVE-2013-2443 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與類庫相關的不明向量影響應用的機密性，此弱點與 CVE-2013-2452 和 CVE-2013-2455 不同。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱此問題是 AccessControlContext 類別內不正確的檢查順序所導致，但 Oracle 尚未對此發表任何評論。
CVE-2013-2444 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本、JavaFX 2.2.21 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 AWT 相關的向量來對應用的可用性造成影響。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱此問題未正確管理和限制與字型處理相關的特定資源 (可能涉及暫存檔)，但 Oracle 尚未對此發表任何評論。
CVE-2013-2445 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 Hotspot 相關的不明向量來對應用的可用性造成影響。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與處理記憶體配置錯誤相關的向量來繞過 Java 沙盒，但 Oracle 尚未對此發表任何評論。
CVE-2013-2446 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 CORBA 相關的向量來對應用的機密性造成影響。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題未正確強制執行 CORBA 輸出資料流的存取限制，但 Oracle 尚未對此發表任何評論。
CVE-2013-2447 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 Networking 相關的不明向量來對應用的機密性造成影響。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過涉及 Socket.getLocalAddress 和 InetAddress.getLocalHost 之間不一致的向量來取得通訊端的本機位址，但 Oracle 尚未對此發表任何評論。
CVE-2013-2448 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 Sound 相關的不明向量來對應用的機密性、完整性和可用性造成影響。
注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與聲音類別的存取限制不足和健壯性缺陷相關的向量來繞過 Java 沙盒，但 Oracle 尚未對此發表任何評論。
CVE-2013-2450 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 Serialization 相關的不明向量來對應用的可用性造成影響。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題與不當處理 ObjectStreamClass 中的循環參照有關，但 Oracle 尚未對此發表任何評論。
CVE-2013-2452 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與類庫相關的不明向量影響應用的機密性，此弱點與 CVE-2013-2443 和 CVE-2013-2455 不同。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題與虛擬機器識別碼中的網路位址處理，以及 java.rmi.dgc.VMID 類別中缺少唯一且無法預測的 ID 有關，但 Oracle 尚未對此發表任何評論。
CVE-2013-2453 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 JMX 相關的向量影響應用的完整性。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱此問題是遺漏 MBeanServer Introspector 套件存取檢查所導致，但 Oracle 尚未對此發表任何評論。
CVE-2013-2455 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與類庫相關的不明向量影響應用的機密性，此弱點與 CVE-2013-2443 和 CVE-2013-2452 不同。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題與 (1) getEnclosingClass、(2) getEnclosingMethod 和 (3) getEnclosingConstructor 方法的存取檢查錯誤有關，但 Oracle 尚未對此發表任何評論。
CVE-2013-2456 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 Serialization 相關的不明向量來對應用的機密性造成影響。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題與 ObjectOutputStream 類別中子類別的存取檢查不當有關，但 Oracle 尚未對此發表任何評論。
CVE-2013-2457 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 JMX 相關的向量來對應用的完整性造成影響。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，產生此問題是由於特定類別檢查的實作不正確，讓遠端攻擊者得以繞過預定的類別限制，但 Oracle 尚未對此發表任何評論。
CVE-2013-2459 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 AWT 相關的向量來對應用的機密性、完整性和可用性造成影響。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與整數溢位檢查相關的向量來繞過 Java 沙盒，但 Oracle 尚未對此發表任何評論。
CVE-2013-2461 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與類庫相關的不明向量影響應用的機密性、完整性與可用性。注意：前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與遺漏對 [a] 有效 DOMCanonicalizationMethod 規範化演算法的檢查相關的向量來繞過 XML 簽章驗證，但 Oracle 尚未對此發表任何評論。
CVE-2013-2463 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 2D 相關的不明向量來對應用的機密性、完整性和可用性造成影響。注意：
前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與 2D 中錯誤的影像屬性驗證相關的向量來繞過 Java 沙盒，但 Oracle 尚未對此發表任何評論。
CVE-2013-2465 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 2D 相關的不明向量來對應用的機密性、完整性和可用性造成影響。注意：
前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與 2D 中錯誤的影像通道驗證相關的向量來繞過 Java 沙盒，但 Oracle 尚未對此發表任何評論。
CVE-2013-2469 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 2D 相關的不明向量來對應用的機密性、完整性和可用性造成影響。注意：
前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與 2D 中錯誤的影像佈局驗證相關的向量來繞過 Java 沙盒，但 Oracle 尚未對此發表任何評論。
CVE-2013-2470 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 2D 相關的不明向量來對應用的機密性、完整性和可用性造成影響。注意：
前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與 ImagingLib 字元查找處理相關的向量來繞過 Java 沙盒，但 Oracle 尚未對此發表任何評論。
CVE-2013-2471 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 2D 相關的不明向量來對應用的機密性、完整性和可用性造成影響。注意：
前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與錯誤的 IntegerComponentRaster 大小檢查相關的向量來繞過 Java 沙盒，但 Oracle 尚未對此發表任何評論。
CVE-2013-2472 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 2D 相關的不明向量來對應用的機密性、完整性和可用性造成影響。注意：
前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與 2D 中錯誤的 ShortBandedRaster 大小檢查相關的向量來繞過 Java 沙盒，但 Oracle 尚未對此發表任何評論。
CVE-2013-2473 在 Oracle Java SE 7 Update 21 與更早版本、6 Update 45 與更早版本、5.0 Update 45 與更早版本以及 OpenJDK 7 中，Java 執行階段環境 (JRE) 元件中的不明弱點允許遠端攻擊者透過與 2D 相關的不明向量來對應用的機密性、完整性和可用性造成影響。注意：
前述資訊來自 2013 年 6 月 CPU。其他供應商聲稱，此問題允許遠端攻擊者透過與 2D 中錯誤的 ByteBandedRaster 大小檢查相關的向量來繞過 Java 沙盒，但 Oracle 尚未對此發表任何評論。
Tenable 已直接從 MiracleLinux 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的 java-1.6.0-openjdk 和/或 java-1.6.0-openjdk-devel 套件。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 291498
檔案名稱: miracle_linux_AXSA-2013-553.nasl
版本: 1.2
類型: local
已發布: 2026/1/19
已更新: 2026/2/5
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Critical
分數: 9.7
Vendor
Vendor Severity: High
CVSS v2
風險因素: Critical
基本分數: 10
時間性分數: 8.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2013-2465
CVSS v3
風險因素: Critical
基本分數: 9.8
時間性分數: 9.4
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:H/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:miracle:linux:java-1.6.0-openjdk, p-cpe:/a:miracle:linux:java-1.6.0-openjdk-devel, cpe:/o:miracle:linux:3
必要的 KB 項目: Host/local_checks_enabled, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list, Host/cpu
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2013/7/18
弱點發布日期: 2013/6/18
CISA 已知遭惡意利用弱點到期日: 2022/4/18
可惡意利用
Core Impact
Metasploit (Java storeImageArray() Invalid Array Indexing Vulnerability)
參考資訊
CVE: CVE-2013-1500, CVE-2013-1571, CVE-2013-2407, CVE-2013-2412, CVE-2013-2443, CVE-2013-2444, CVE-2013-2445, CVE-2013-2446, CVE-2013-2447, CVE-2013-2448, CVE-2013-2450, CVE-2013-2452, CVE-2013-2453, CVE-2013-2455, CVE-2013-2456, CVE-2013-2457, CVE-2013-2459, CVE-2013-2461, CVE-2013-2463, CVE-2013-2465