在 OpenJDK 之 AWT 元件的 JPEG 影像格式解碼器中發現一個超出邊界寫入瑕疵。特製的 JPEG 影像可造成 Java 應用程式損毀，或可能執行任意程式碼。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過 Java Sandbox 限制。(CVE-2016-0483)

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在一個整數正負號問題。特製的字型檔案可能導致 Java 虛擬機器執行任意程式碼，從而允許未受信任的 Java 應用程式或 applet 繞過 Java Sandbox 限制。(CVE-2016-0494)

據發現，OpenJDK 的 JAXP 元件未正確強制 totalEntitySizeLimit 限制。可以使 Java 應用程式處理特製 XML 檔案的攻擊者，可利用此瑕疵來使應用程式消耗過量記憶體。
(CVE-2016-0466)

在 TLS 1.2 可能於 TLS 交握期間使用 MD5 雜湊函式來簽署 ServerKeyExchange 與用戶端驗證封包的方式中發現一個瑕疵。能夠強制 TLS 連線使用 MD5 雜湊函式的攔截式攻擊者可能利用此瑕疵來執行衝突攻擊，以模擬 TLS 伺服器或經驗證的 TLS 用戶端。(CVE-2015-7575)

在 OpenJDK 的 Libraries、Networking 和 JMX 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2015-4871、CVE-2016-0402、CVE-2016-0448)

注意：此更新也不允許在憑證路徑處理中使用 MD5 雜湊演算法。將 MD5 從在 java.security 檔案中定義的 jdk.certpath.disabledAlgorithms 安全性內容中移除後，可重新啟用 MD5 的使用。

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

偵測

Scientific Linux 安全性更新：SL5.x、SL7.x i386/x86_64 上的 java-1.7.0-openjdk (SLOTH)

medium Nessus Plugin ID 88079

找不到變更記錄