現已提供適用於 Red Hat Enterprise Linux 5 和 6 Supplementary 的更新版 java-1.7.0-oracle 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Oracle Java SE 7 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。

此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的數個弱點。如需這些瑕疵的詳細資訊，請參閱 Oracle Java SE 重要修補程式更新公告頁面的＜參照＞一節內容。
(CVE-2013-0401、CVE-2013-0402、CVE-2013-1488、CVE-2013-1491、CVE-2013-1518、CVE-2013-1537、CVE-2013-1540、CVE-2013-1557、CVE-2013-1558、CVE-2013-1561、CVE-2013-1563、CVE-2013-1564、CVE-2013-1569、CVE-2013-2383、CVE-2013-2384、CVE-2013-2394、CVE-2013-2414、CVE-2013-2415、CVE-2013-2416、CVE-2013-2417、CVE-2013-2418、CVE-2013-2419、CVE-2013-2420、CVE-2013-2421、CVE-2013-2422、CVE-2013-2423、CVE-2013-2424、CVE-2013-2425、CVE-2013-2426、CVE-2013-2427、CVE-2013-2428、CVE-2013-2429、CVE-2013-2430、CVE-2013-2431、CVE-2013-2432、CVE-2013-2433、CVE-2013-2434、CVE-2013-2435、CVE-2013-2436、CVE-2013-2438、CVE-2013-2439、CVE-2013-2440)

建議所有 java-1.7.0-oracle 使用者皆升級至這些更新版套件，其提供 Oracle Java 7 Update 21 並可解決這些問題。必須重新啟動 Oracle Java 所有執行中的執行個體，此更新才會生效。

遠端主機上目前安裝的 IBM Domino (前身為 Lotus Domino) 是 9.0.1 之前的 9.x 版。因此，據報會受到下列弱點影響：

- 內含的 IBM Java SDK 版本含有具有數個安全性問題的 IBM JRE 版本。(CVE-2013-0809、CVE-2013-1493、CVE-2013-2436、CVE-2013-2455、CVE-2013-3006、CVE-2013-3007、CVE-2013-3008、CVE-2013-3009、CVE-2013-3010、CVE-2013-3011、CVE-2013-3012)

- 存在一個與管理電子郵件內容相關的輸入驗證錯誤，可導致跨網站指令碼攻擊。(CVE-2013-4063)

- 在 'ultra-light' 模式下執行時，存在與 iNotes 相關的輸入驗證錯誤，可允許跨網站指令碼攻擊。(CVE-2013-4064)

- 在 'ultra-light' 模式下執行時，存在與處理電子郵件訊息中內容和 iNotes 相關的輸入驗證錯誤，可允許跨網站指令碼攻擊。(CVE-2013-4065)

- 請注意，2013 年 2 月、4 月和 6 月版 Oracle Java CPU 中的修正，皆納入已修正的 IBM Java 版本中，而該 IBM Java 版本則納入已修正的 IBM Domino 版本中。(CVE-2012-1541, CVE-2012-3213, CVE-2012-3342, CVE-2013-0351, CVE-2013-0401, CVE-2013-0402, CVE-2013-0409, CVE-2013-0419, CVE-2013-0423, CVE-2013-0424, CVE-2013-0425, CVE-2013-0426, CVE-2013-0427, CVE-2013-0428, CVE-2013-0429, CVE-2013-0430, CVE-2013-0431, CVE-2013-0432, CVE-2013-0433, CVE-2013-0434, CVE-2013-0435, CVE-2013-0437, CVE-2013-0438, CVE-2013-0440, CVE-2013-0441, CVE-2013-0442, CVE-2013-0443, CVE-2013-0444, CVE-2013-0445, CVE-2013-0446, CVE-2013-0448, CVE-2013-0449, CVE-2013-0450, CVE-2013-1473, CVE-2013-1475, CVE-2013-1476, CVE-2013-1478, CVE-2013-1479, CVE-2013-1480, CVE-2013-1481, CVE-2013-1488, CVE-2013-1489, CVE-2013-1491, CVE-2013-1500, CVE-2013-1518, CVE-2013-1537, CVE-2013-1540, CVE-2013-1557, CVE-2013-1558, CVE-2013-1561, CVE-2013-1563, CVE-2013-1564, CVE-2013-1569, CVE-2013-1571, CVE-2013-2383, CVE-2013-2384, CVE-2013-2394, CVE-2013-2400, CVE-2013-2407, CVE-2013-2412, CVE-2013-2414, CVE-2013-2415, CVE-2013-2416, CVE-2013-2417, CVE-2013-2418, CVE-2013-2419, CVE-2013-2420, CVE-2013-2421, CVE-2013-2422, CVE-2013-2423, CVE-2013-2424, CVE-2013-2425, CVE-2013-2426, CVE-2013-2427, CVE-2013-2428, CVE-2013-2429, CVE-2013-2430, CVE-2013-2431, CVE-2013-2432, CVE-2013-2433, CVE-2013-2434, CVE-2013-2435, CVE-2013-2437, CVE-2013-2438, CVE-2013-2439, CVE-2013-2440, CVE-2013-2442, CVE-2013-2443, CVE-2013-2444, CVE-2013-2445, CVE-2013-2446, CVE-2013-2447, CVE-2013-2448, CVE-2013-2449, CVE-2013-2450, CVE-2013-2451, CVE-2013-2452, CVE-2013-2453, CVE-2013-2454, CVE-2013-2456, CVE-2013-2457, CVE-2013-2458, CVE-2013-2459, CVE-2013-2460, CVE-2013-2461, CVE-2013-2462, CVE-2013-2463, CVE-2013-2464, CVE-2013-2465, CVE-2013-2466, CVE-2013-2467, CVE-2013-2468, CVE-2013-2469, CVE-2013-2470, CVE-2013-2471, CVE-2013-2472, CVE-2013-2473, CVE-2013-3743, CVE-2013-3744, CVE-2013-4002)

IBM Java 1.7.0 已更新至 SR4-FP2，可修正錯誤和安全性問題。

http://www.ibm.com/developerworks/java/jdk/alerts/

Ben Murphy 在 OpenJDK JRE 中發現一個與資訊洩漏和資料完整性相關的弱點。攻擊者可惡意利用此弱點執行任意程式碼。(CVE-2013-0401)

James Forshaw 在 OpenJDK JRE 中發現一個與資訊洩漏、資料完整性和可用性相關的弱點。攻擊者可惡意利用此弱點執行任意程式碼。(CVE-2013-1488)

在 OpenJDK JRE 中發現數個與資訊洩漏、資料完整性和可用性有關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務，或透過網路洩漏敏感資料。(CVE-2013-1518、CVE-2013-1537、CVE-2013-1557、CVE-2013-1569、CVE-2013-2383、CVE-2013-2384、CVE-2013-2420、CVE-2013-2421、CVE-2013-2422、CVE-2013-2426、CVE-2013-2429、CVE-2013-2430、CVE-2013-2431、CVE-2013-2436)

在 OpenJDK JRE 中發現兩個與機密性相關的弱點。攻擊者可惡意利用這些弱點透過網路洩漏敏感資料。(CVE-2013-2415、CVE-2013-2424)

在 OpenJDK JRE 中發現兩個與可用性相關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務。(CVE-2013-2417、CVE-2013-2419)

在 OpenJDK JRE 中發現與資料完整性有關的弱點。(CVE-2013-2423)。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 Supplementary 的更新版 java-1.7.0-ibm 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM Java SE 版本 7 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。IBM 「安全性警示」頁面會詳細說明這些弱點，如<參照>一節中所列。(CVE-2013-0169、CVE-2013-0401、CVE-2013-1488、CVE-2013-1491、CVE-2013-1537、CVE-2013-1540、CVE-2013-1557、CVE-2013-1558、CVE-2013-1563、CVE-2013-1569、CVE-2013-2383、CVE-2013-2384、CVE-2013-2394、CVE-2013-2415、CVE-2013-2416、CVE-2013-2417、CVE-2013-2418、CVE-2013-2419、CVE-2013-2420、CVE-2013-2422、CVE-2013-2423、CVE-2013-2424、CVE-2013-2426、CVE-2013-2429、CVE-2013-2430、CVE-2013-2432、CVE-2013-2433、CVE-2013-2434、CVE-2013-2435、CVE-2013-2436、CVE-2013-2438、CVE-2013-2440)

建議所有 java-1.7.0-ibm 使用者皆升級至這些更新版套件，其中包含 IBM Java SE 7 SR4-FP2 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

來自 Red Hat 安全性公告 2013:0770：

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 java-1.6.0-openjdk 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

這些套件提供 OpenJDK 6 Java Runtime Environment 與 OpenJDK 6 Software Development Kit。

在 2D 元件的字型配置引擎中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵，觸發 Java 虛擬機器記憶體損毀。
(CVE-2013-1569、CVE-2013-2383、CVE-2013-2384)

在 OpenJDK 的 Beans、Libraries、JAXP 和 RMI 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2013-1558、CVE-2013-2422、CVE-2013-1518、CVE-2013-1557)

java.rmi.server.useCodebaseOnly 內容先前的預設值允許 RMI 實作從遠端指定的位置自動載入類別。能夠使用 RMI 連線至應用程式的攻擊者可利用此瑕疵，讓應用程式執行任意程式碼。(CVE-2013-1537)

注意：CVE-2013-1537 的修正會將該內容的預設值變更為 true，以限制類別載入到本機 CLASSPATH 和 java.rmi.server.codebase 內容指定的位置。如需其他詳細資訊，請參閱 Red Hat Bugzilla 錯誤 952387。

2D 元件無法正確處理特定影像。未受信任的 Java 應用程式或 applet 可能利用此瑕疵，觸發 Java 虛擬機器記憶體損毀。(CVE-2013-2420)

據發現，Hotspot 元件無法正確處理某些內建框架，因此無法正確執行 MethodHandle 查閱。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2013-2431、CVE-2013-2421)

據發現，ImageIO 元件中的 JPEGImageReader 和 JPEGImageWriter 無法在執行某些原生程式碼作業時，有效防止其狀態的修改。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵，觸發 Java 虛擬機器記憶體損毀。(CVE-2013-2429、CVE-2013-2430)

JDBC 驅動程式管理員可在 JDBC 驅動程式中不正確地呼叫 toString() 方法，而 ConcurrentHashMap 類別則可不正確地呼叫 defaultReadObject() 方法。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2013-1488、CVE-2013-2426)

sun.awt.datatransfer.ClassLoaderObjectInputStream 類別可能會不正確地叫用系統類別載入器。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過特定 Java Sandbox 限制。(CVE-2013-0401)

在 Network 元件的 InetAddress 序列化與 2D 元件的字型處理中發現瑕疵。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵，使 Java 虛擬機器當機。(CVE-2013-2417、CVE-2013-2419)

OpenJDK JMX 元件中的 MBeanInstantiator 類別實作在建立新的執行個體之前，並未正確檢查類別存取權。未受信任的 Java 應用程式或 applet 可利用此瑕疵，建立非公開類別的執行個體。(CVE-2013-2424)

據發現，JAX-WS 可能建立包含不安全權限的暫存檔。本機攻擊者可利用此瑕疵，存取使用 JAX-WS 之應用程式所建立的暫存檔。
(CVE-2013-2415)

此 erratum 也會將 OpenJDK 套件升級至 IcedTea6 1.11.10。
請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

建議所有 java-1.6.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

ID	名稱	產品	系列	已發布	已更新	嚴重性
66029	RHEL 5 / 6：java-1.7.0-oracle (RHSA-2013:0757)	Nessus	Red Hat Local Security Checks	2013/4/19	2022/5/25	critical
71861	IBM Domino 9.x < 9.0.1 多個弱點 (經認證的檢查)	Nessus	Windows	2014/1/8	2022/5/25	critical
66855	SuSE 11.2 / 11.3 安全性更新：IBM Java 1.7.0 / IBM Java (SAT 修補程式編號 7794 / 7921)	Nessus	SuSE Local Security Checks	2013/6/11	2021/1/19	critical
66200	Ubuntu 12.10：openjdk-7 弱點 (USN-1806-1)	Nessus	Ubuntu Local Security Checks	2013/4/24	2022/5/25	critical
66439	RHEL 5 / 6：java-1.7.0-ibm (RHSA-2013:0822)	Nessus	Red Hat Local Security Checks	2013/5/15	2022/12/5	critical
68815	Oracle Linux 5 / 6：java-1.6.0-openjdk (ELSA-2013-0770)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical