Amazon Linux AMI : java-1.7.0-openjdk (ALAS-2015-570) (Bar Mitzvah) (Logjam)

low Nessus Plugin ID 84930
新推出!Plugin 嚴重性目前使用 CVSS v3

計算 Plugin 嚴重性已更新為預設使用 CVSS v3 沒有 CVSS v3 評分的 Plugin 會回歸到以 CVSS v2 計算嚴重性。您可在設定下拉式選單中切換顯示嚴重性的喜好設定

Synopsis

遠端 Amazon Linux AMI 主機缺少一個安全性更新。

描述

在 OpenJDK 的 2D、CORBA、JMX、Libraries 和 RMI 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733)

在 OpenJDK 的 Libraries 元件驗證線上憑證狀態通訊協定 (OCSP) 回應的方式中發現一個瑕疵。由於未指定 nextUpdate 日期的 OCSP 回應有無限的有效性,因此會被錯誤處理,可能導致已撤銷的 X.509 憑證被解譯為有效。(CVE-2015-4748)

據發現,OpenJDK 中的 JCE 元件在許多情況下無法使用常數時間比較。攻擊者可能利用這些瑕疵,藉著這些非常數時間比較來測量作業所需時間,從而洩漏敏感資訊。(CVE-2015-2601)

在 RC4 加密演算法中發現一個瑕疵。當針對 RC4 加密使用特定的金鑰時,攻擊者可在不知道加密金鑰的情況下,從加密文字中取得純文字的部分。(CVE-2015-2808)

請注意,使用此更新後,現在 OpenJDK 預設會停用 RC4 TLS/SSL 加密套件,以解決 CVE-2015-2808 問題。

在 TLS 通訊協定撰寫 Diffie-Hellman (DH) 金鑰交換的方式中發現一個瑕疵。攔截式攻擊者可利用此瑕疵,在金鑰交換過程中強制使用弱式 512 位元匯出級金鑰,讓攻擊者得以解密所有流量。
(CVE-2015-4000)

請注意,此更新會強制 OpenJDK 中的 TLS/SSL 用戶端實作拒絕低於 768 位元的 DH 金鑰大小,如此可防止工作階段降級為匯出級金鑰。

據發現,OpenJDK 中的 JNDI 元件並未正確處理 DNS 解析。如果攻擊者可以觸發這類 DNS 錯誤,即可導致使用 JNDI 的 Java 應用程式消耗記憶體和 CPU 時間,並且可能封鎖進一步的 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 元件中發現多個資訊洩漏瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵,繞過特定 Java Sandbox 限制。
(CVE-2015-2621、CVE-2015-2632)

在 OpenJDK 的 JSSE 元件與透過 IP 位址識別的主機建立 TLS/SSL 連線時該元件執行 X.509 憑證身分識別的方式中發現一個瑕疵。在某些情況下,如果是針對 IP 位址所解析的主機名稱發出憑證,而不是針對 IP 位址發出憑證,則該憑證會被接受,即認為是有效憑證。
(CVE-2015-2625)

解決方案

執行「yum update java-1.7.0-openjdk」以更新系統。

另請參閱

https://alas.aws.amazon.com/ALAS-2015-570.html

Plugin 詳細資訊

嚴重性: Low

ID: 84930

檔案名稱: ala_ALAS-2015-570.nasl

版本: 2.8

類型: local

代理程式: unix

已發布: 2015/7/23

已更新: 2019/10/16

相依性: ssh_get_info.nasl

風險資訊

VPR

風險因素: Critical

分數: 9.1

CVSS v2

風險因素: Critical

基本分數: 10

媒介: AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS v3

風險因素: Low

基本分數: 3.7

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N

弱點資訊

CPE: p-cpe:/a:amazon:linux:java-1.7.0-openjdk, p-cpe:/a:amazon:linux:java-1.7.0-openjdk-debuginfo, p-cpe:/a:amazon:linux:java-1.7.0-openjdk-demo, p-cpe:/a:amazon:linux:java-1.7.0-openjdk-devel, p-cpe:/a:amazon:linux:java-1.7.0-openjdk-javadoc, p-cpe:/a:amazon:linux:java-1.7.0-openjdk-src, cpe:/o:amazon:linux

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2015/7/22

弱點發布日期: 2015/3/31

參考資訊

CVE: CVE-2015-2590, CVE-2015-2601, CVE-2015-2621, CVE-2015-2625, CVE-2015-2628, CVE-2015-2632, CVE-2015-2808, CVE-2015-4000, CVE-2015-4731, CVE-2015-4732, CVE-2015-4733, CVE-2015-4748, CVE-2015-4749, CVE-2015-4760

ALAS: 2015-570

RHSA: 2015:1229