openSUSE 安全性更新:java-1_7_0-openjdk (openSUSE-SU-2014:1645-1)

critical Nessus Plugin ID 80045
新推出!弱點優先順序評分 (VPR)

Tenable 會為每個弱點計算動態 VPR。VPR 將弱點資訊與威脅情報和機器學習演算法加以結合,藉此預測攻擊者最有可能利用哪些弱點發動攻擊。查看詳細資訊: VPR 是什麼?它跟 CVSS 有何不同?

VPR 評分: 6.5

Synopsis

遠端 openSUSE 主機缺少安全性更新。

描述

此 openjdk 更新可修正下列安全性和非安全性問題:

- 升級至 2.4.8 (bnc#887530)

- 已從 gzipped tarball 變更回 xz

- 已變更 keyring 檔案,新增簽署 icedtea 套件的 Andrew John Hughes

- 將 ZERO 變更為 AARCH64 tarball

- 已移除修補程式:

- gstackbounds.patch

- java-1.7.0-openjdk-ppc-zero-jdk.patch

- java-1.7.0-openjdk-ppc-zero-hotspot.patch

- - 已整合到上游 icedtea

- java-1.7.0-openjdk-makefiles-zero.patch

- 不適用於 AARCH64 tarball,因為已從 DEFAULT 和 ZERO tarball 變更為 DEFAULT 和 AARCH64

- 自 2.4.4 版起進行上游變更:

- 安全性修正:

- S8029755、CVE-2014-4209:增強主旨類別

- S8030763:驗證全域記憶體配置

- S8031340、CVE-2014-4264:改善 TLS/EC 管理

- S8031346、CVE-2014-4244:增強 RSA 金鑰處理

- S8031540:引入文件地平線

- S8032536:JVM 可解決某些異常案例中所用的錯誤方法

- S8033055:2d 的問題

- S8033301、CVE-2014-4266:構建資訊更充足的 InfoBuilder

- S8034267:隨機原生當機

- S8034272:不將資料填塞至 CRAM 陣列

- S8034985、CVE-2014-2483:改善 Lambda Forms 表單

- S8035004、CVE-2014-4252:供應商提供較少服務

- S8035009、CVE-2014-4218:使 Proxy 表示法一致

- S8035119、CVE-2014-4219:修正位元組程式碼驗證的例外狀況

- S8035699、CVE-2014-4268:檔案選擇器應設計得更容易選擇

- S8035788。CVE-2014-4221:提供更一致的查閱

- S8035793、CVE-2014-4223:引數數目上限已達最大值

- S8036571:(處理程序) 仔細處理處理程序引數

- S8036800:用於更正部分程式碼的屬性 OOM

- S8037046:驗證要載入的程式庫

- S8037076、CVE-2014-2490:檢查常數集區的常數

- S8037157:驗證 <init> 呼叫

- S8037162、CVE-2014-4263:更穩固的 DH 交換

- S8037167、CVE-2014-4216:改善簽章解析方法

- S8039520、CVE-2014-4262:更多不可部分完成的原子更新

- S8023046:增強 splashscreen 支援

- S8025005:增強 CORBA 初始化

- S8025010、CVE-2014-2412:增強 AWT 內容

- S8025030、CVE-2014-2414:增強資料流處理

- S8025152、CVE-2014-0458:增強啟用設定

- S8026067:增強已簽署 jar 驗證

- S8026163、CVE-2014-2427:增強媒體佈建

- S8026188、CVE-2014-2423:增強信封工廠

- S8026200:增強 RowSet Factory

- S8026716、CVE-2014-2402:(aio) 增強非同步通道處理

- S8026736、CVE-2014-2398:增強 Javadoc 頁面

- S8026797、CVE-2014-0451:增強資料傳輸

- S8026801、CVE-2014-0452:增強端點定址

- S8027766、CVE-2014-0453:增強 RSA 處理

- S8027775:增強 ICU 程式碼。

- S8027841、CVE-2014-0429:增強像素操作

- S8028385:增強 RowSet Factory

- S8029282、CVE-2014-2403:增強 CharInfo 設定

- S8029286:增強主體委派

- S8029699:更新 Poller 示範

- S8029730:改善音訊裝置新增

- S8029735:增強服務管理原生

- S8029740、CVE-2014-0446:增強記錄器處理

- S8029745、CVE-2014-0454:增強演算法檢查

- S8029750:增強 LCMS 色彩處理 (內部樹狀 LCMS)

- S8029760、CVE-2013-6629:增強 AWT 圖像庫 (內部樹狀 libjpeg)

- S8029844、CVE-2014-0455:增強引數驗證

- S8029854、CVE-2014-2421:增強 JPEG 解碼

- S8029858、CVE-2014-0456:增強陣列複本

- S8030731、CVE-2014-0460:改善名稱服務加強性

- S8031330:重構 ObjectFactory

- S8031335、CVE-2014-0459:改善色彩分析 (內部樹狀 LCMS)

- S8031352、CVE-2013-6954:增強 PNG 處理 (內部樹狀 libpng)

- S8031394、CVE-2014-0457:(sl) 修正 ServiceLoader 內的例外狀況處理

- S8031395:增強 LDAP 處理

- S8032686、CVE-2014-2413:方法叫用問題

- S8033618、CVE-2014-1876:更正記錄輸出

- S8034926、CVE-2014-2397:正確歸屬類別

- S8036794、CVE-2014-0461:管理 JavaScript 執行個體

- 反向移植

- S5049299:(處理程序) 在 S10 上使用 posix_spawn,而不使用 fork,可避免交換耗盡

- S6571600:使用 JNI 會導致 UnsatisfiedLinkError 尋找 libmawt.so

- S7131153:呼叫 GetDC 太多次,導致效能不佳。

- S7190349:使用旋轉的 g2d 不正確 繪製文字 (標籤)

- S8001108:嘗試使用「<init>」做為方法名稱時,應引出 NoSuchMethodException

- S8001109:呼叫散佈機方法控制的引數數目不相符,應會引出 IllegalArgumentException

- S8008118:(處理程序) jdk/src/solaris/native/java/lang/UNIXProcess_md.c 中可能有 NULL 指標解除參照

- S8013611:強制回應對話方塊無法取得鍵盤焦點

- S8013809:在 SSLSocketImpl 中的寫入和關閉之間會出現鎖死

- S8013836:getFirstDayOfWeek 報告了錯誤的 pt-BR 地區日期

- S8014460:使用 EXT_LIBS_PATH 前必須先檢查其是否為非空白

- S8019853:中斷記錄和 AWT 循環相依性

- S8019990:IM 候選視窗出現在顯示器的右下角。

- S8020191:System.getProperty('os.name') 會在 Windows 8.1 上傳回「Windows NT 未知)」

- S8022452:熱點必須知道關於 Windows 8.1 和 Windows Server 2012 R2 的資訊

- S8023990:迴歸:postscript 尺寸從 6u18 開始增加

- S8024283:10 個 nashorn 測試失敗,其都有類似的堆疊追蹤 InternalError,原因是 NoClassDefFoundError

- S8024616:JSR292:消極式初始化用於啟動程序的核心 NamedFunctions

- S8024648:7141246 和 8016131 中斷 Zero 連接埠 (只有 AArch64)

- S8024830:org.apache.lucene.codecs.compres sing.CompressingTermVect orsReader.get 中有 SEGV

- S8025588:[macosx] 7u40 中的 AppKit 執行緒凍結

- S8026404:登入 Applet 會觸發 ACE: 存取遭拒 ('java.lang.RuntimePermission' 'modifyThreadGroup')

- S8026705:[TEST_BUG] java/beans/Introspector/TestTypeResolver.java 失敗

- S8027196:增加適用於 7u55 的微調版本 HSx,並初始化版本編號

- S8027212:
java/nio/channels/Selector/SelectAfterRead.java 會間歇性失敗

- S8028285:RMI 執行緒無法再呼叫到 AWT

- S8029177:[Parfait] 來自 b117 給 jdk.src.share.native.com.sun.java.util.jar 的警告:JNI 例外狀況擱置

- S8030655:迴歸:14_01 安全性修正 8024306 導致測試失敗

- S8030813:CRL 儲存在 LDAP 目錄時,已簽署的 applet 無法載入

- S8030822:(tz) 支援 tzdata2013i

- S8031050:(執行緒) 變更執行緒初始化,以在叫用 SecurityManager 之前設定執行緒名稱

- S8031075:[迴歸] 在具有一個焦點元件的對話方塊中使用 shift+tab,焦點會消失

- S8031462:具有 morx 表格的字型因為最新的 ICU 修正而遭到損毀

- S8032585:JSR292:嘗試從其他套件叫用受保護的方法時出現 IllegalAccessError

- S8032740:必須在版本 7 中建立 SE 內嵌來源套件組合

- S8033278:8032585 之後的 Lookup.unreflect* 遺漏存取檢查

- S8034772:JDK-8028795 將規格變更帶到 7u55 版本,並導致 JCK7 簽章測試失敗

- S8035283:分支縮短的第二階段未考量迴圈對齊

- S8035613:使用 Securitymanager 時,JAXBContext.newInstance 會失敗

- S8035618:四個 api/org_omg/CORBA TCK 測試只在外掛程式環境下會失敗

- S8036147:針對 7u55-b11 將 hsx 24.55 版本遞增至 b02

- S8036786:更新 jdk7 測試程式庫以符合 jdk8

- S8036837:針對 7u55-b12 將 hsx 24.55 版本遞增至 b03

- S8037012:(tz) 支援 tzdata2014a

- S8038306:(tz) 支援 tzdata2014b

- S8038392:產生連結前快取會中斷 JAVA「jinfo」公用程式的正常動作

- S8042264:7u65 l10n 資源檔案轉譯更新 1

- S8042582:Windows x64 上的 java/awt/KeyboardFocusmanager/ChangeKFMTest/ChangeKFMTest.html 測試失敗

- S8042590:執行表單 URL 會擲回 NPE

- S8042789:org.omg.CORBA.ORBSingletonClass 載入不會再使用內容類別載入器

- S8043012:(tz) 支援 tzdata2014c

- S8004145:改善的最新 hgforest.sh、ctrl-c 現可正確終止 mercurial 處理程序。

- S8007625:在 /common/bin/hgforest.sh 中與巢狀 repo 爭用

- S8011178:改善 common/bin/hgforest.sh python 偵測 (MacOS)

- S8011342:hgforest.sh:在更舊版 python 上不支援 ‘python --version’

- S8011350:hgforest.sh 使用因部分 Shell 可能會失敗的非 POSIX sh 功能

- S8024200:處理 #! 後有空格的 hg 包裝函式

- S8025796:hgforest.sh 無需複雜策劃,便可觸發來自 hg 的未緩衝輸出

- S8028388:9 個 jaxws 測試因 java.lang.ClassCastException 而在夜間版本中失敗

- S8031477:[macosx] AWT 原生程式庫載入失敗

- S8032370:JPEGImageReader 上沒有來自 IIOReadWarningListener 的 ‘Truncated file’ 警告

- S8035834:修正 JDK-8030731 之後,InetAddress.getLocalHost() 可能會懸置

- S8009062:修正 7017193 之後,JNI AttachCurrentThread 的效能便開始下降

- S8035893:JVM_GetVersionInfo 無法執行零架構

- 在熱點版本最後重新啟用「gamma」測試,但僅適用於以熱點為基礎的啟動程序 JDK。

- S8015976:OpenJDK 屬於錯誤 JDK-8015812 的一部分 [TEST_BUG] 測試和測試描述相衝突

- S8022698:自 7u45 b04 起,使用 -agentvm 選項的 javax/script/GetInterfaceTest.java 作業都失敗

- S8022868:在 java 運行時間遺漏程式碼頁面 Cp290

- S8023310:Beans.IsDesignTime() 方法中有執行緒爭用

- S8024461:[Macosx] mac10.9 上的 swing 和 2d 函式手動測試出現 Java 損毀

- S8025679:增加適用於 7u51 的微調版本 HSx,並初始化版本編號

- S8026037:[測試錯誤] Solaris 的 sun/security/tools/jarsigner/warnings.sh 測試失敗

- S8026304:jarsigner 輸出損毀文法

- S8026772:
test/sun/util/resources/TimeZone/Bug6317929.java 失敗

- S8026887:讓因大量頁面配置失敗而引起的問題更容易除錯

- S8027204:修訂 8026204 和 8025758 的更新

- S8027224:測試迴歸 - ClassNotFoundException

- S8027370:支援 tzdata2013h

- S8027378:兩個因 jdk7u51b04 而造成的 closed/javax/xml/8005432 失敗

- S8027787:7u51 l10n 資源檔案轉譯更新 1

- S8027837:JDK-8021257 導致內嵌平台上的 CORBA 構建失敗

- S8027943:7u45 中的 com.sun.corba.se.spi.orbu til.proxy.CompositeInvocationHandlerImpl 序列版本已變更

- S8027944:針對 7u51-b07 將 hsx 24.51 版本遞增至 b02

- S8028057:將 jarsigner 手冊頁文件修改為文件 CCC 8024302:闡明 jar 驗證

- S8028090:還原使用不正確之認可訊息推送的 change - changeset (該訊息會連結至錯誤的問題)

- S8028111:XML 讀取器共用相同實體擴充計數器

- S8028215:如果內容選取 JDK 預設 ORB,ORB.init 將因 SecurityException 而失敗

- S8028293:檢查實體暫時連接埠範圍的本機組態

- S8028382:兩個 javax/xml/8005433 測試在修正 JDK-8028147 之後還是會失敗

- S8028453:由於繫結至本機位址,因此 AsynchronousSocketChannel.connect() 需要 SocketPermission (win)

- S8028823:java/net/Makefile 索引標籤會轉換為空格

- S8029038:修訂共用相同實體擴充計數器之 XML 讀取器的修正

- S8029842:針對 7u51-b11 將 hsx 24.51 版本遞增至 b03

- 錯誤修正

- 修正 armel 的 PR1188 意外回復

- PR1781:NSS PKCS11 提供者無法處理 multipart AES 加密

- PR1830:放置 LCMS 2 的版本需求

- PR1833、RH1022017:報告 NSS (而非 SunEC 程式庫) 支援的橢圓曲線

- RH905128:[損毀] 使用 NSS 安全性供應商和 kerberos 時,OpenJDK-1.7.0 遇到問題

- PR1393:版本中的 JPEG 支援在 non-system-libjpeg 版本上損毀

- PR1726:組態未能尋找 ecj.jar,甚至沒有嘗試找出 javac

- Red Hat 本機:路徑以 / 開頭之 repo 的修正。

- 移除未使用的 hgforest 指令碼

- PR1101:GNU/Linux SPARC 上未定義的符號

- PR1659:設定粗體樣式時,OpenJDK 7 傳回不正確的 TrueType 字型度量

- PR1677、G498288:更新 PaX 支援以偵測執行中的 PaX 核心並使用新工具

- PR1679:允許在支援 PaX 的核心上構建 OpenJDK

- PR1684:構建因空白 PAX_COMMAND 而失敗

- RH1015432:java-1.7.0-openjdk:StackOverflowError 造成 PPC 失敗 (已修訂的修正)

- 若 SYSTEM_CUPS 不是設為 true,則連結 $(LIBDL)

- 啟用 --with-gcj (原生 ecj 版本) 時,使用 ecj.jar 執行設定檢查。

- 更新 ecj-multicatch.patch 以修正損毀的啟動程序版本

- PR1653:透過 Zero 支援 ppc64le

- PR1654:ppc32 需要更大的 ThreadStackSize 才能構建

- RH1015432:java-1.7.0-openjdk:StackOverflowError 造成 PPC 失敗

- RH910107:無法載入 PC/SC 程式庫

- ARM32 連接埠

- 從 IcedTea 6 新增 arm_port

- 從 IcedTea 6 新增 patches/arm.patch

- 從 IcedTea 6 新增 patches/arm-debug.patch

- 從 IcedTea 6 新增 patches/arm-hsdis.patch

- 已新增 dynamic_generate 和 compiled_method_load 事件的 jvmti 事件產生至 ARM JIT 編譯器

- 調整執行安全點作業時的已儲存 SP。

- invokedynamic 的第一次剪下

- 修正從 asm JIT 遞迴重新輸入後丟入垃圾桶的執行緒 ptr。

- ldc methodHandle 的 JIT 編譯

- 重新命名眾多誤導命名的函式

- 變更 HSX22

- 重新命名眾多誤導命名的函式

- 已修補處理介面卡程式碼的方法,解決 TCK 中的失敗

- 階段 1

- 階段 2

- RTC Thumb2 JIT 增強功能。

- Zero 無法在 hsx22+ 中構建,修正執行 gamma OK、 hsx23 後仍為無反應的 hsx22。

- 使用 ldrexd 執行 ARMv7 上不可部分完成的讀取。

- 使用適用於 thumb 程式碼的整合語法。

- 已更正從 fast_method_handle_entry 到 CppInterpreter::method_handle_entry 的呼叫,以便執行緒載入至 r2

- 傳回時不儲存地區。

- 修正 handle_special_method() 呼叫。修正 compareAndSwapLong。

- 修正錯誤編譯 org.eclipse.ui.internal.contexts.ContextAuthority.source 的 JIT 錯誤,已變更

- JIT 的 invokedynamic 和 aldc

- 修改安全點檢查,改為依賴記憶體保護訊號,而非輪詢

- 微幅調整檢閱清理。

- PR1188:ASM 解譯器和 Thumb2 JIT javac 錯誤編譯 armel 上的餘數提醒

- PR1363:Fedora 19 / rawhide FTBFS SIGILL

- 變更 HSX23

- 從已移除的方法中移除片段

- 從 CC_COMPILE 移除 C++ 旗標,並修正 zeroshark.make 中的使用方式。

- 使用 $(CC) 編譯 mkbc,而不使用 $(CC_COMPILE),避免只有 C++ 的旗標

- 新增有關目前 $(CFLAGS)/$(CXXFLAGS)/$(CPPFLAGS) 使用情況的備註。

- 覆寫 bytecodes_arm.def 來源語言的自動偵測

- 在組合器階段中包含 $(CFLAGS)

- PR1626:hsx24 的 ARM32 組合器更新。使用 ARM32JIT 開啟/關閉。

- 使用正確的符號名稱取代 METHOD_SIZEOFPARAMETERS 和 ISTATE_NEXT_FRAME 的文字位移。

- 預設開啟 ARM32 JIT

- AArch64 連接埠

- smull 的 AArch64 C2 指示

- 新增建構函式做為來自 Register - RegSet 的轉換。使用此項目。

- 新增 RegSet::operator+=。

- 新增數個簡單的內建支援

- 新增內建 crc32 指示支援

- 新增 CRC32 內建支援

- 新增 CRC32 的 Neon 實作支援

- 所有位址常數大小都是 48 位元。

- C1:修正分析時出現的位移溢位。

- 常見的 C1/C2 框架處理,可正確處理所有框架大小

- 更正移位的作業成本。

- 更正初構和終解的 OptoAssembly。

- 刪除無作用的指示。

- 呼叫 stub 時不使用任何形式的 _call_VM_leaf。

- 加快字串比較

- 加快 String.equals()

- 修正眾多假的註解。

- 修正偏差鎖定並預設為啟用

- 將指示大小從 8 修正為 4

- 修正用於移位的 opto 組件。

- 修正 verify_method_data_pointer 中的暫存器誤用

- 修正 generate_verify_oop() 中的暫存器使用方式。

- 實作各種鎖定的記憶體作業。

- 提升 ic_cache 檢查中的 C1 效能改善

- 根據 Edward Nevill 的建議,改善 pop() 的程式碼產生程序。

- 改善安全點輪詢

- 使 C2 的程式碼項目對齊 64

- 微調除以 2 最佳化

- 全新的指示選項成本模型。

- 應簽署 lookupswitch 指示中的位移。

- 最佳化介面卡表格位元組對應基礎的定址

- 最佳化 C2 進入點驗證

- 最佳化長式除以 2

- 改善效能並輕鬆使用從上游提取的變更

- 呼叫 java 程式碼時保留被呼叫者儲存的 FP 暫存器

- 移除過時的 C1 修補程式碼。

- 移除特殊情況下的除數引數處理。
AArch64 不需要該處理。

- 移除 CAS 作業不必要的記憶體障礙物

- 在 crc32 程式碼中從寄件者 sp、r13 還原 sp

- 將預設的 ReservedCodeCacheSize 限制為 128M

- 將 CAS 作業重寫為趨於傳統方式

- 移除 C1 修補程式碼之前,先儲存中繼狀態。

- 清理推送/快顯指示中的暫存器使用率。

- 清理堆疊框架處理。

- 在 C2 產生的程式碼中,使用 movoop 和 mov_metadata 的 2- 和 3- 指示直接形式。

- 針對 psh 和 pop 作業使用一組明確的暫存器,而非使用點陣圖。

- 在 C1 中使用明確的障礙指示。

- 使用 gcc __clear_cache 而非親自操作

- PR1713:支援 AArch64 連接埠

- Shark

- 新增來自 8003868 的 Shark 定義

- 從 sharkCompiler.cpp 放置 7083786 中移除的 compile_method 引數

解決方案

更新受影響的 java-1_7_0-openjdk 套件。

另請參閱

https://bugzilla.opensuse.org/show_bug.cgi?id=887530

https://lists.opensuse.org/opensuse-updates/2014-12/msg00063.html

Plugin 詳細資訊

嚴重性: Critical

ID: 80045

檔案名稱: openSUSE-2014-772.nasl

版本: 1.6

類型: local

代理程式: unix

已發布: 2014/12/16

已更新: 2021/1/19

相依性: ssh_get_info.nasl

風險資訊

風險因素: Critical

VPR 評分: 6.5

CVSS v2.0

基本分數: 10

媒介: AV:N/AC:L/Au:N/C:C/I:C/A:C

弱點資訊

CPE: p-cpe:/a:novell:opensuse:java-1_7_0-openjdk, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-accessibility, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-debuginfo, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-debugsource, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-demo, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-demo-debuginfo, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-devel, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-devel-debuginfo, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-headless, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-headless-debuginfo, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-javadoc, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-src, cpe:/o:novell:opensuse:12.3

必要的 KB 項目: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list, Host/cpu

修補程式發佈日期: 2014/12/3

參考資訊

CVE: CVE-2013-6629, CVE-2013-6954, CVE-2014-0429, CVE-2014-0446, CVE-2014-0451, CVE-2014-0452, CVE-2014-0453, CVE-2014-0454, CVE-2014-0455, CVE-2014-0456, CVE-2014-0457, CVE-2014-0458, CVE-2014-0459, CVE-2014-0460, CVE-2014-0461, CVE-2014-1876, CVE-2014-2397, CVE-2014-2398, CVE-2014-2402, CVE-2014-2403, CVE-2014-2412, CVE-2014-2413, CVE-2014-2414, CVE-2014-2421, CVE-2014-2423, CVE-2014-2427, CVE-2014-2483, CVE-2014-2490, CVE-2014-4209, CVE-2014-4216, CVE-2014-4218, CVE-2014-4219, CVE-2014-4221, CVE-2014-4223, CVE-2014-4244, CVE-2014-4252, CVE-2014-4262, CVE-2014-4263, CVE-2014-4264, CVE-2014-4266, CVE-2014-4268