Oracle Linux 5 : java-1.6.0-openjdk (ELSA-2011-0857)
critical Nessus Plugin ID 68287
語系：
概要
遠端 Oracle Linux 主機缺少一個或多個安全性更新。說明
來自 Red Hat 安全性公告 2011:0857：現已提供適用於 Red Hat Enterprise Linux 5 的更新版 java-1.6.0-openjdk 套件，可修正數個安全性問題。
Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。
這些套件提供 OpenJDK 6 Java Runtime Environment 與 OpenJDK 6 Software Development Kit。
在 Java2D 剖析 JPEG 影像和使用者提供的字型時，所使用的方式存在整數溢位瑕疵。攻擊者可利用這些瑕疵，以執行未受信任 Java applet 或應用程式之使用者的權限執行任意程式碼。(CVE-2011-0862)
據發現，MediaTracker 實作以不必要的存取權限建立 Component 執行個體。遠端攻擊者可利用此瑕疵，以使用 Swing 的未受信任 applet 或應用程式提升自身權限。(CVE-2011-0871)
在 OpenJDK 的 HotSpot 元件中發現一個瑕疵。特定的位元組程式碼指示造成 Java 虛擬機器 (JVM) 中的記憶體管理混淆，這可能會導致 applet 或應用程式損毀。
(CVE-2011-0864)
在 NetworkInterface 類別中發現一個資訊洩漏瑕疵。未受信任的 applet 或應用程式可利用此瑕疵，存取只有具權限的程式碼可取得的可用網路介面資訊。(CVE-2011-0867)
特定物件 (如影像和文字) 在 Java2D 中轉換時，所使用的方式存在不正確的 float 至 long 轉換，進而導致溢位。遠端攻擊者可利用此瑕疵，造成使用 Java2D 的不受信任 applet 或應用程式損毀。(CVE-2011-0868)
據發現，未受信任的 applet 和應用程式可誤用 SOAP 連線，以不正確的方式設定全域 HTTP Proxy 設定，而不是在本機範圍內設定。此瑕疵可被用來攔截 HTTP 要求。(CVE-2011-0869)
在已簽署物件進行還原序列化的方式中發現一個瑕疵。如果受信任和未受信任的程式碼在同一個 Java 虛擬機器 (JVM) 中執行，且兩者將相同的已簽署物件還原序列化，則未受信任的程式碼可利用此瑕疵繞過已簽署物件的驗證檢查，進而修改該物件。(CVE-2011-0865)
注意：所有以上瑕疵皆只能透過呼叫「appletviewer」應用程式，在 OpenJDK 中遠端觸發。
建議所有 java-1.6.0-openjdk 使用者皆升級至這些更新版套件，其提供 OpenJDK 6 b20 / IcedTea 1.9.8 並可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。
解決方案
更新受影響的 java-1.6.0-openjdk 套件。另請參閱
https://oss.oracle.com/pipermail/el-errata/2011-June/002182.html
Plugin 詳細資訊
嚴重性: Critical
ID: 68287
檔案名稱: oraclelinux_ELSA-2011-0857.nasl
版本: 1.9
類型: local
代理程式: unix
已發布: 2013/7/12
已更新: 2021/1/14
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.0
CVSS v2
風險因素: Critical
基本分數: 10
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
弱點資訊
CPE: p-cpe:/a:oracle:linux:java-1.6.0-openjdk, p-cpe:/a:oracle:linux:java-1.6.0-openjdk-demo, p-cpe:/a:oracle:linux:java-1.6.0-openjdk-devel, p-cpe:/a:oracle:linux:java-1.6.0-openjdk-javadoc, p-cpe:/a:oracle:linux:java-1.6.0-openjdk-src, cpe:/o:oracle:linux:5
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
修補程式發佈日期: 2011/6/9
弱點發布日期: 2011/6/14
參考資訊
CVE: CVE-2011-0862, CVE-2011-0864, CVE-2011-0865, CVE-2011-0867, CVE-2011-0868, CVE-2011-0869, CVE-2011-0871
RHSA: 2011:0857