現已提供適用於 Red Hat Enterprise Linux 6 的更新版 java-1.7.0-openjdk 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

這些套件提供 OpenJDK 7 Java Runtime Environment 與 OpenJDK 7 Software Development Kit。

在 2D 元件的字型配置引擎中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵，觸發 Java 虛擬機器記憶體損毀。
(CVE-2013-1569、CVE-2013-2383、CVE-2013-2384)

在 OpenJDK 的 Beans、Libraries、JAXP 和 RMI 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2013-1558、CVE-2013-2422、CVE-2013-2436、CVE-2013-1518、CVE-2013-1557)

java.rmi.server.useCodebaseOnly 內容先前的預設值允許 RMI 實作從遠端指定的位置自動載入類別。能夠使用 RMI 連線至應用程式的攻擊者可利用此瑕疵，讓應用程式執行任意程式碼。(CVE-2013-1537)

注意：CVE-2013-1537 的修正會將該內容的預設值變更為 true，以限制類別載入到本機 CLASSPATH 和 java.rmi.server.codebase 內容指定的位置。如需其他詳細資訊，請參閱 Red Hat Bugzilla 錯誤 952387。

2D 元件無法正確處理特定影像。未受信任的 Java 應用程式或 applet 可能利用此瑕疵，觸發 Java 虛擬機器記憶體損毀。(CVE-2013-2420)

據發現，Hotspot 元件無法正確處理某些內建框架，因此無法正確執行存取檢查和 MethodHandle 查閱。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2013-2431、CVE-2013-2421、CVE-2013-2423)

據發現，ImageIO 元件中的 JPEGImageReader 和 JPEGImageWriter 無法在執行某些原生程式碼作業時，有效防止其狀態的修改。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵，觸發 Java 虛擬機器記憶體損毀。(CVE-2013-2429、CVE-2013-2430)

JDBC 驅動程式管理員可在 JDBC 驅動程式中不正確地呼叫 toString() 方法，而 ConcurrentHashMap 類別則可不正確地呼叫 defaultReadObject() 方法。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2013-1488、CVE-2013-2426)

sun.awt.datatransfer.ClassLoaderObjectInputStream 類別可能會不正確地叫用系統類別載入器。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過特定 Java Sandbox 限制。(CVE-2013-0401)

在 Network 元件的 InetAddress 序列化與 2D 元件的字型處理中發現瑕疵。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵，使 Java 虛擬機器當機。(CVE-2013-2417、CVE-2013-2419)

OpenJDK JMX 元件中的 MBeanInstantiator 類別實作在建立新的執行個體之前，並未正確檢查類別存取權。未受信任的 Java 應用程式或 applet 可利用此瑕疵，建立非公開類別的執行個體。(CVE-2013-2424)

據發現，JAX-WS 可能建立包含不安全權限的暫存檔。本機攻擊者可利用此瑕疵，存取使用 JAX-WS 之應用程式所建立的暫存檔。
(CVE-2013-2415)

注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

此 erratum 也會將 OpenJDK 套件升級至 IcedTea7 2.3.9。
請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

偵測

CentOS 6 : java-1.7.0-openjdk (CESA-2013:0751)

critical Nessus Plugin ID 66027

找不到變更記錄