遠端 Redhat Enterprise Linux 7 主機上安裝的多個套件受到 RHSA-2024:4160 公告中提及的一個弱點影響。

    IBM Java SE 版本 8 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

    安全性修正：

    * IBM JDK：Object Request Broker (ORB) 拒絕服務 (CVE-2023-38264)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 IBM Java 版本為 7.1 < 7.1.5.22 / 8.0 < 8.0.8.25。因此，其會受到 2024 年 5 月 IBM 安全性更新公告中提及的多個弱點影響。

  - IBM SDK、Java Technology Edition 的 Object Request Broker (ORB) (7.1.0.0 至 7.1.5.21 和 8.0.0.0 至 8.0.8.21 版本) 在某些情況下容易遭受拒絕服務攻擊，因強制執行 JEP 290 MaxRef 和 MaxDepth 還原序列化篩選器不當所致。IBM X-Force ID：260578。
    (CVE-2023-38264)

  - 在 0.44.0 之前和 0.13.0 之後的 Eclipse OpenJ9 發行版本中，執行 JVM 選項
    Xgc:concurrentScavenge (在可為受保護的儲存提供硬體和軟體支援的 IBM Z 平台上，為 System.arrayCopy 產生的序列 [1]) 時，若 Concurrent Scavenge Garbage Collection 週期處於作用中且 arraycopy 的來源和目的地記憶體區域重疊，則允許在執行 arraycopy 時存取長度值不正確的緩衝區。這會允許讀取和寫入超出陣列範圍結尾的位址。(CVE-2024-3933)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 IBM WebSphere eXtreme Scale 版本低於 8.6.1.6。因此，會受到 7166876 公告中所提及的多個弱點影響。

  - 在 0.44.0 之前和 0.13.0 之後的 Eclipse OpenJ9 發行版本中，執行 JVM 選項
    Xgc:concurrentScavenge (在可為受保護的儲存提供硬體和軟體支援的 IBM Z 平台上，為 System.arrayCopy 產生的序列 [1]) 時，若 Concurrent Scavenge Garbage Collection 週期處於作用中且 arraycopy 的來源和目的地記憶體區域重疊，則允許在執行 arraycopy 時存取長度值不正確的緩衝區。這會允許讀取和寫入超出陣列範圍結尾的位址。(CVE-2024-3933)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u401、8u401-perf、11.0.22、17.0.10、21.0.2、22；Oracle GraalVM for JDK：17.0.10、21.0.2、22；Oracle GraalVM Enterprise Edition：20.3.13 和 21.3.9。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下更新、插入或刪除 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的部分可存取資料。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21094)

  - Oracle Java SE 的 Oracle Java SE 和 Oracle GraalVM Enterprise Edition 產品中的弱點 (元件：Concurrency)。受影響的支援版本是 Oracle Java SE：8u401、8u401-perf、11.0.22；Oracle GraalVM Enterprise Edition：20.3.13 和 21.3.9。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM 企業版。若成功攻擊此弱點，則可能導致在未經授權的情況下造成 Oracle Java SE、Oracle GraalVM 企業版部分拒絕服務 (部分 DOS)。
    注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼) 並且依賴 Java 沙箱獲得安全性的 Java 部署，這通常是在於沙箱中執行的 Java Web Start 應用程式或於沙箱中執行的 Java Applet 用戶端中。
    (CVE-2024-21085)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的多個套件受到 RHSA-2024:3685 公告中提及的一個弱點影響。

    IBM Java SE 版本 8 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

    此更新會將 IBM Java SE 8 升級至 8 SR8-FP15 版。

    安全性修正：

    * IBM JDK：Object Request Broker (ORB) 拒絕服務 (CVE-2023-38264)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 CentOS Linux 7 主機上安裝的多個套件受到 RHSA-2024:4160 公告中提及的一個弱點影響。

  - IBM SDK、Java Technology Edition 的 Object Request Broker (ORB) (7.1.0.0 至 7.1.5.21 和 8.0.0.0 至 8.0.8.21 版本) 在某些情況下容易遭受拒絕服務攻擊，因強制執行 JEP 290 MaxRef 和 MaxDepth 還原序列化篩選器不當所致。IBM X-Force ID：260578。
    (CVE-2023-38264)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
201083	RHEL 7：java-1.8.0-ibm (RHSA-2024:4160)	Nessus	Red Hat Local Security Checks	2024/6/27	2024/6/27	medium
195219	IBM Java 7.1 < 7.1.5.22/8.0 < 8.0.8.25 多個弱點	Nessus	Misc.	2024/5/9	2024/5/30	medium
206334	IBM WebSphere eXtreme Scale 8.6.1.0 < 8.6.1.6 (7166876)	Nessus	Web Servers	2024/8/29	2024/8/29	low
200166	RHEL 8：java-1.8.0-ibm (RHSA-2024:3685)	Nessus	Red Hat Local Security Checks	2024/6/6	2024/6/6	medium
201097	CentOS 7：java-1.8.0-ibm (RHSA-2024:4160)	Nessus	CentOS Local Security Checks	2024/6/27	2024/6/27	medium

偵測

搜尋 Plugin

medium

medium

low

medium

medium