Amazon Linux AMI︰java-1.8.0-openjdk (ALAS-2016-647) (SLOTH)

medium Nessus Plugin ID 88659

語系：

概要

遠端 Amazon Linux AMI 主機缺少一個安全性更新。

描述

在 OpenJDK 之 AWT 元件的 JPEG 影像格式解碼器中發現一個超出邊界寫入瑕疵。特製的 JPEG 影像可造成 Java 應用程式損毀，或可能執行任意程式碼。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過 Java Sandbox 限制。(CVE-2016-0483)

在 TLS 1.2 可能於 TLS 交握期間使用 MD5 雜湊函式來簽署 ServerKeyExchange 與用戶端驗證封包的方式中發現一個瑕疵。能夠強制 TLS 連線使用 MD5 雜湊函式的攔截式攻擊者可能利用此瑕疵來執行衝突攻擊，以模擬 TLS 伺服器或經驗證的 TLS 用戶端。(CVE-2015-7575)

在 ICU 配置引擎的 IndicRearrangementProcessor 和 IndicRearrangementProcessor2 中發現多個整數正負號問題。特製的字型檔可造成使用 ICU 剖析未受信任之字型的應用程式損毀，及可能執行任意程式碼。(CVE-2016-0494)

據發現，OpenJDK 之 Libraries 元件中的密碼型加密 (PBE) 實作使用不正確的金鑰長度。在某些情況下，這可導致產生比預期弱的金鑰。(CVE-2016-0475)

在 OpenJDK 的 Networking 元件中的 URL 類別的還原序列化中發現一個瑕疵。還原序列化特製資料可導致以不一致狀態建立 URL 物件。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。(CVE-2016-0402)

據發現，OpenJDK 的 JAXP 元件未正確強制 totalEntitySizeLimit 限制。可以使 Java 應用程式處理特製 XML 檔案的攻擊者，可利用此瑕疵來使應用程式消耗過量記憶體。
(CVE-2016-0466)

據發現，OpenJDK 的 JMX 元件中的 RMIConnector 和 RMIConnectionImpl 類別可將使用者密碼之類的敏感資訊記錄到其除錯記錄中，進而可能導致資訊洩漏。(CVE-2016-0448)

解決方案

執行「yum update java-1.8.0-openjdk」以更新系統。

另請參閱

https://alas.aws.amazon.com/ALAS-2016-647.html

Plugin 詳細資訊

嚴重性: Medium

ID: 88659

檔案名稱: ala_ALAS-2016-647.nasl

版本: 2.4

類型: local

代理程式: unix

發布日期: 2016/2/10

更新日期: 2018/4/18

支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent

風險資訊

VPR

風險因素: Medium

分數: 6.0

CVSS v2

風險因素: Critical

基本分數: 10

媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS v3

風險因素: Medium

基本分數: 5.9

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

弱點資訊

CPE: p-cpe:/a:amazon:linux:java-1.8.0-openjdk, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-debuginfo, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-demo, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-devel, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-headless, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-javadoc, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-src, cpe:/o:amazon:linux

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

修補程式發佈日期: 2016/2/9

參考資訊

CVE: CVE-2015-7575, CVE-2016-0402, CVE-2016-0448, CVE-2016-0466, CVE-2016-0475, CVE-2016-0483, CVE-2016-0494

ALAS: 2016-647