安全性修正：

  - 在 OpenJDK 的 JCE 元件中發現一個不受信任程式庫搜尋路徑缺陷。本機攻擊者可利用此缺陷造成使用 JCE 的 Java 應用程式載入由攻擊者所控制的程式庫，進而提升其權限。(CVE-2017-3511)

  - 據發現OpenJDK 的 JAXP 元件在剖析 XML 文件時未正確執行剖析樹狀結構大小限制。可以使 Java 應用程式剖析特製 XML 文件的攻擊者，可利用此缺陷來使應用程式消耗過量 CPU 及記憶體。(CVE-2017-3526)

  - 據發現OpenJDK 的 Networking 元件中的 HTTP 用戶端實作會快取並重複使用不同安全性內容中的 NTLM 驗證連線。遠端攻擊者可利用此缺陷，使 Java 應用程式執行用不同使用者的憑證驗證的 HTTP 要求。(CVE-2017-3509)

注意：此更新新增了「jdk.ntlm.cache」系統屬性支援，將之設定為 false 時，可防止快取 NTLM 連線及驗證，因而避免此問題發生。
不過，快取作業仍預設為啟用狀態。

  - 據發現，OpenJDK 的 Security 元件未允許使用者限制允許用於 Jar 完整性驗證的演算法集。攻擊者可利用此缺陷修改使用弱簽署金鑰或雜湊演算法的 Jar 檔案內容。(CVE-2017-3539)

注意︰此更新擴充了 CVE-2016-5542 的修正 (作為 SLSA-2016:2079 錯字勘誤表的一部分發布)在 Jar 完整性驗證期間不再允許 MD5 雜湊演算法 (將其新增至 jdk.jar.disabledAlgorithms 安全性屬性)。

  - 在 OpenJDK 的 Networking 元件中，發現 FTP 和 SMTP 用戶端實作裡存在新行注入缺陷。遠端攻擊者可利用這些缺陷操控 Java 應用程式所建立的 FTP 或 SMTP 連線。(CVE-2017-3533、CVE-2017-3544)

注意: 如果已安裝 icedtea-Web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

偵測

Scientific Linux 安全性更新SL6.x i386/x86_64 上的 java-1.8.0-openjdk (20170421)

high Nessus Plugin ID 99621

找不到依附元件