遠端 AIX 主機上安裝的 Java SDK 版本受到多個弱點影響：

- Global Security Kit (GSKit) 中有一個瑕疵，這是因為不當限制 TLS 狀態轉換所致。攔截式攻擊者可惡意利用此瑕疵，將工作階段的安全性降級，藉此使用 EXPORT_RSA 密碼。
 這讓攻擊者更容易破解加密，並監控或或竄改加密的資料流。(CVE-2015-0138)

- 存在一個不明瑕疵，會讓攻擊者得以使用提升的權限來執行安全性管理員中執行的程式碼。(CVE-2015-0192)

- 存在一個稱為 FREAK (RSA-EXPORT 金鑰的分解攻擊) 的安全性功能繞過弱點，這是因為支援具有小於或等於 512 位元金鑰的弱式 EXPORT_RSA 加密套件所致。攔截式攻擊者可降級 SSL/TLS 連線以使用 EXPORT_RSA 加密套件，該套件可在短時間內遭到分解，進而允許攻擊者攔截和解密流量。(CVE-2015-0204)

- 多個 Java 子元件中存有多個不明弱點，包括 2D、Beans、Deployment、JCE、JSSE 和多種工具。(CVE-2015-0458、CVE-2015-0459、CVE-2015-0469、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0486、CVE-2015-0488、CVE-2015-0491)

- 存在一個不明瑕疵，會讓遠端攻擊者得以繞過權限檢查，並取得敏感資訊的存取權。(CVE-2015-1914)

- 存在一個不明瑕疵，這是因為 Socket Extension Provider 對 TLS 和 SSL 連線的處理所致。遠端攻擊者可加以惡意利用，進而引發拒絕服務。
 (CVE-2015-1916)

- 存在一個稱為 Bar Mitzvah 的安全性功能繞過弱點，這是因為 RC4 加密演算法在初始化階段不當結合狀態資料和金鑰資料所導致。攔截式攻擊者可惡意利用這點，透過使用 LSB 值的暴力密碼破解攻擊，將流量解密。(CVE-2015-2808)

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2015:1006 公告中提及的多個弱點影響。

    IBM Java SE 版本 6 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

    此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。有關這些缺陷的進一步資訊，請查閱〈參考資料〉一節所列的「IBM Java 安全性警示」頁面連結內容。(CVE-2005-1080、CVE-2015-0138、CVE-2015-0192、CVE-2015-0458、CVE-2015-0459、CVE-2015-0469、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0488、CVE-2015-0491、CVE-2015-1914、CVE-2015-2808)

    CVE-2015-0478 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

    注意: 執行此更新後，IBM JDK 會預設為停用 RC4 SSL/TLS 加密套件，即可解決 CVE-2015-2808 問題。請查閱〈參考資料〉一節中的 Red Hat Bugzilla 錯誤 1207101 連結，瞭解更多有關此變更的詳細資訊。

    建議所有 java-1.6.0-ibm 使用者皆升級至這些更新版套件，其中包含 IBM Java SE 6 SR16-FP4 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 6 和 7 Supplementary 的更新版 java-1.7.1-ibm 套件，可修正數個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM Java SE 版本 7 發行版本 1 包含 IBM Java Runtime Environment 和 IBM Java 軟體開發套件。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。有關這些瑕疵的進一步資訊，請查閱〈參照〉一節所列的「IBM Java 安全性警示」頁面連結內容。(CVE-2005-1080、CVE-2015-0138、CVE-2015-0192、CVE-2015-0458、CVE-2015-0459、CVE-2015-0469、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0488、CVE-2015-0491、CVE-2015-1914、CVE-2015-2808)

CVE-2015-0478 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

注意：執行此更新後，IBM JDK 會預設為停用 RC4 SSL/TLS 加密套件，即可解決 CVE-2015-2808 問題。如需此變更的其他詳細資訊，請參閱〈參照〉一節中的 Red Hat Bugzilla 錯誤 1207101 連結。

建議所有 java-1.7.1-ibm 使用者皆升級至這些更新版套件，其中含有 IBM Java SE 7R1 SR3 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

IBM Java 1.7.0 已更新至 SR9，可修正安全性問題和錯誤。

如需列表資訊，請造訪：<a href='http://www.ibm.com/developerworks/java/jdk/alerts/#IBM_Security_ Update_May_2015'>http://www.ibm.com/developerworks/java/jdk/alerts/#IB M_Security_Update_May_2015</a>

CVE-2015-0192、CVE-2015-2808、CVE-2015-1914、CVE-2015-0138、CVE-2015-0491、CVE-2015-0458、CVE-2015-0459、CVE-2015-0469、CVE-2015-0480、CVE-2015-0488、CVE-2015-0478、CVE-2015-0477、CVE-2015-0204

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
84087	AIX Java 公告：java_april2015_advisory.asc (Bar Mitzvah) (FREAK)	Nessus	AIX Local Security Checks	2015/6/10	2023/4/21	critical
83432	RHEL 6: java-1.6.0-ibm (RHSA-2015:1006)	Nessus	Red Hat Local Security Checks	2015/5/13	2025/4/15	critical
83753	RHEL 6 / 7：java-1.7.1-ibm (RHSA-2015:1020) (Bar Mitzvah)	Nessus	Red Hat Local Security Checks	2015/5/21	2021/2/5	critical
84423	SUSE SLES11 安全性更新：Java (SUSE-SU-2015:1086-3) (Bar Mitzvah) (FREAK)	Nessus	SuSE Local Security Checks	2015/6/26	2021/1/19	critical

偵測

搜尋 Plugin

critical

critical

critical

critical