更新版 java-1.7.0-openjdk 套件可修正安全性弱點：

在 2D 元件的 medialib 程式庫中發現輸入驗證瑕疵。處理特製的影像時，可觸發 Java 虛擬機器記憶體損毀。遠端攻擊者或者未受信任的 Java 應用程式或 applet 可能利用此瑕疵，以執行 Java 虛擬機器的使用者權限執行任意程式碼 (CVE-2014-0429)。

在 OpenJDK 的 Hotspot 和 2D 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，觸發 Java 虛擬機器記憶體損毀，且可能繞過 Java Sandbox 限制 (CVE-2014-0456、CVE-2014-2397、CVE-2014-2421)。

在 OpenJDK 的 Libraries 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2014-0457、CVE-2014-0455、CVE-2014-0461)。

在 OpenJDK 的 AWT、JAX-WS、JAXB、Libraries、Security、Sound 和 2D 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過特定 Java Sandbox 限制 (CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-2402、CVE-2014-0446、CVE-2014-2413、CVE-2014-0454、CVE-2014-2427、CVE-2014-0459)。

在 Java 命名和目錄介面 (JNDI) DNS 用戶端中發現多個瑕疵。這些瑕疵可導致遠端攻擊者更容易執行 DNS 偽造攻擊 (CVE-2014-0460)。

據發現，JAXP 元件並未在 SecurityManager 存在時正確防止對任意檔案的存取。此瑕疵可導致使用 JAXP 的 Java 應用程序洩漏敏感資訊，或是影響應用程式可用性 (CVE-2014-2403)。

據發現，OpenJDK 的 Security 元件在執行 PKCS#1 取消填補時，可洩漏部分計時資訊。這可能導致原本應受到加密保護的部分資訊遭到洩漏 (CVE-2014-0453)。

據發現，CVE-2013-5797 的修正未正確解決 javadoc 中的輸入清理瑕疵。若 javadoc 文件是由不受信任的 Jave 原始碼產生，且是在未由程式碼作者控制的網域上託管，這些問題可導致更容易發動跨網站指令碼 (XSS) 攻擊 (CVE-2014-2398)。

在 unpack200 公用程式建立記錄檔的方式中發現一個不安全的暫時檔使用瑕疵。本機攻擊者可能利用此瑕疵發動符號連結攻擊，並且透過執行 unpack200 的使用者權限覆寫任意檔案 (CVE-2014-1876)。

請注意，CVE-2014-0459 問題位於 lcms2 程式庫中，其已經過修補，可更正此瑕疵。

偵測

Mandriva Linux 安全性公告：java-1.7.0-openjdk (MDVSA-2014:100)

critical Nessus Plugin ID 74078

找不到依附元件