IBM Java 已更新至 7.1-3.10，修正了數個安全性問題。

下列弱點已修正：

- CVE-2015-1931：IBM Java Security 元件會在記憶體轉儲存中儲存純文字資料，這可能會允許本機攻擊者取得資訊，藉此對系統發動進一步攻擊。

- CVE-2015-2590：Libraries 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2601：JCE 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2613：JCE 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java SE、Java SE Embedded 資料的子集。

- CVE-2015-2619：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2621：JMX 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2625：JSSE 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 SSL/TLS 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2632：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2637：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2638：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2664：Deployment 元件中存有一個難以惡意利用的弱點，需要登入作業系統。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2808：JSSE 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 SSL/TLS 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地更新、插入或刪除某些可供存取之 Java 資料的存取權，以及可供存取之 Java 資料的子集讀取存取權。

- CVE-2015-4000：JSSE 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 SSL/TLS 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地更新、插入或刪除某些可供存取之 Java 資料的存取權，以及可供存取之 Java Embedded 資料的子集讀取存取權。

- CVE-2015-4729：Deployment 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。
 若成功攻擊此弱點，可能導致未經授權地更新、插入或刪除某些可供存取之 Java SE 資料的存取權，以及可供存取之 Java SE 資料的子集讀取存取權。

- CVE-2015-4731：JMX 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4732：Libraries 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4733：RMI 元件中存有一個容易遭惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4748：Security 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 OCSP 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4749：JNDI 元件中存有一個難以惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權即可造成部分拒絕服務 (部分 DOS)。

- CVE-2015-4760：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

java-1_7_0-ibm 已更新，修正了 21 個安全性問題。

已修正這些安全性問題：

- CVE-2015-4729：Oracle Java SE 7u80 和 8u45 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量，影響機密性和完整性 (bsc#938895)。

- CVE-2015-4748：Oracle Java SE 6u95、7u80 和 8u45；JRockit R28.3.6；以及 Java SE Embedded 7u75 和 Embedded 8u33 中有一個不明弱點，會讓遠端攻擊者透過與安全性相關的未知向量，影響機密性、完整性和可用性 (bsc#938895)。

- CVE-2015-2664：Oracle Java SE 6u95、7u80 和 8u45 中有一個不明弱點，會讓本機使用者透過與部署相關的未知向量，影響機密性、完整性和可用性 (bsc#938895)。

- CVE-2015-0192：SR1 之前的 IBM Java 8、SR2 FP11 之前的 7 R1、SR9 之前的 7、SR8 FP4 之前的 6 R1、SR16 FP4 之前的 6 以及 SR16 FP10 之前的 5.0 中有一個不明弱點，會讓遠端攻擊者透過與 Java 虛擬機器相關的未知向量取得權限 (bsc#938895)。

- CVE-2015-2613：Oracle Java SE 7u80 和 8u45，以及 Java SE Embedded 7u75 和 8u33 中有一個不明弱點，會讓遠端攻擊者透過與 JCE 相關的向量，影響機密性 (bsc#938895)。

- CVE-2015-4731：Oracle Java SE 6u95、7u80 和 8u45；Java SE Embedded 7u75；以及 Java SE Embedded 8u33 中有不明弱點，會讓遠端攻擊者透過與 JMX 有關的向量影響機密性、完整性和可用性 (bsc#938895)。

- CVE-2015-2637：Oracle Java SE 6u95、7u80 和 8u45；JavaFX 2.2.80；以及 Java SE Embedded 7u75 和 8u33 中有一個不明弱點，會讓遠端攻擊者透過與 2D 相關的未知向量，影響機密性 (bsc#938895)。

- CVE-2015-4733：Oracle Java SE 6u95、7u80 和 8u45，以及 Java SE Embedded 7u75 和 8u33 中有不明弱點，會讓遠端攻擊者透過與 RMI 有關的向量影響機密性、完整性和可用性 (bsc#938895)。

- CVE-2015-4732：Oracle Java SE 6u95、7u80 和 8u45，以及 Java SE Embedded 7u75 和 8u33 中有一個不明弱點，會允許遠端攻擊者透過與 Libraries 有關的未知向量，影響機密性、完整性和可用性；該弱點與 CVE-2015-2590 不同 (bsc#938895)。

- CVE-2015-2621：Oracle Java SE 6u95、7u80 和 8u45，以及 Java SE Embedded 7u75 和 8u33 中有一個不明弱點，會讓遠端攻擊者透過與 JMX 相關的向量，影響機密性 (bsc#938895)。

- CVE-2015-2619：Oracle Java SE 7u80 和 8u45、JavaFX 2.2.80 以及 Java SE Embedded 7u75 和 8u33 中有一個不明弱點，會讓遠端攻擊者透過與 2D 相關的未知向量，影響機密性 (bsc#938895)。

- CVE-2015-2590：Oracle Java SE 6u95、7u80 和 8u45，以及 Java SE Embedded 7u75 和 8u33 中有一個不明弱點，會允許遠端攻擊者透過與 Libraries 有關的未知向量，影響機密性、完整性和可用性；該弱點與 CVE-2015-4732 不同 (bsc#938895)。

- CVE-2015-2638：Oracle Java SE 6u95、7u80 和 8u45；JavaFX 2.2.80；以及 Java SE Embedded 7u75 和 8u33 中有一個不明弱點，會讓遠端攻擊者透過與 2D 相關的未知向量，影響機密性、完整性和可用性 (bsc#938895)。

- CVE-2015-2625：Oracle Java SE 6u95、7u80 和 8u45；JRockit R28.3.6；以及 Java SE Embedded 7u75 和 8u33 中有一個不明弱點，會讓遠端攻擊者透過與 JSSE 相關的向量，影響機密性 (bsc#938895)。

- CVE-2015-2632：Oracle Java SE 6u95、7u80 和 8u45 中有一個不明弱點，會讓遠端攻擊者透過與 2D 相關的未知向量，影響機密性 (bsc#938895)。

- CVE-2015-1931：不明弱點 (bsc#938895)。

- CVE-2015-4760：Oracle Java SE 6u95、7u80 和 8u45 中有一個不明弱點，會讓遠端攻擊者透過與 2D 相關的未知向量，影響機密性、完整性和可用性 (bsc#938895)。

- CVE-2015-4000：當伺服器上已啟用 DHE_EXPORT 加密套件，但用戶端上未啟用時，TLS 通訊協定 1.2 及更舊版本未正確傳遞 DHE_EXPORT 選擇，這會允許攔截式攻擊者藉由以 DHE_EXPORT 取代 DHE 來重寫 ClientHello，然後以 DHE 取代 DHE_EXPORT 來重寫 ServerHello，進而發動密碼降級攻擊，亦即「Logjam」問題 (bsc#935540)。

- CVE-2015-2601：Oracle Java SE 6u95、7u80 和 8u45、JRockit R28.3.6 以及 Java SE Embedded 7u75 和 8u33 中有一個不明弱點，會讓遠端攻擊者透過與 JCE 相關的向量，影響機密性 (bsc#938895)。

- CVE-2015-2808：在 TLS 通訊協定和 SSL 通訊協定中所使用的 RC4 演算法，未在初始化階段正確結合狀態資料和金鑰資料，會讓遠端攻擊者更容易透過竊聽網路流量 (有時依賴受不變弱點影響的金鑰)，然後使用暴力密碼破解方法 (涉及 LSB 值)，對資料流的初始位元組發動純文字復原攻擊，即 'Bar Mitzvah' 問題 (bsc#938895)。

- CVE-2015-4749：Oracle Java SE 6u95、7u80 和 8u45；JRockit R28.3.6；以及 Java SE Embedded 7u75 和 8u33 中有一個不明弱點，會讓遠端攻擊者透過與 JNDI 相關的向量，影響可用性 (bsc#938895)。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 OpenJDK 的 2D、CORBA、JMX、Libraries 和 RMI 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733)

在 OpenJDK 的 Libraries 元件驗證線上憑證狀態通訊協定 (OCSP) 回應的方式中發現一個瑕疵。由於未指定 nextUpdate 日期的 OCSP 回應有無限的有效性，因此會被錯誤處理，可能導致已撤銷的 X.509 憑證被解譯為有效。(CVE-2015-4748)

據發現，OpenJDK 中的 JCE 元件在許多情況下無法使用常數時間比較。攻擊者可能利用這些瑕疵，藉著這些非常數時間比較來測量作業所需時間，從而洩漏敏感資訊。(CVE-2015-2601)

在 RC4 加密演算法中發現一個瑕疵。當針對 RC4 加密使用特定的金鑰時，攻擊者可在不知道加密金鑰的情況下，從加密文字中取得純文字的部分。(CVE-2015-2808)

在 TLS 通訊協定撰寫 Diffie-Hellman (DH) 金鑰交換的方式中發現一個瑕疵。攔截式攻擊者可利用此瑕疵，在金鑰交換過程中強制使用弱式 512 位元匯出級金鑰，讓攻擊者得以解密所有流量。
(CVE-2015-4000)

據發現，OpenJDK 中的 JNDI 元件並未正確處理 DNS 解析。如果攻擊者可以觸發這類 DNS 錯誤，即可導致使用 JNDI 的 Java 應用程式消耗記憶體和 CPU 時間，並且可能封鎖進一步的 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 元件中發現多個資訊洩漏瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2015-2621、CVE-2015-2632)

在 OpenJDK 的 JSSE 元件與透過 IP 位址識別的主機建立 TLS/SSL 連線時該元件執行 X.509 憑證身分識別的方式中發現一個瑕疵。在某些情況下，如果是針對 IP 位址所解析的主機名稱發出憑證，而不是針對 IP 位址發出憑證，則該憑證會被接受，即認為是有效憑證。
(CVE-2015-2625)

在 OpenJDK (Oracle Java 平台的實作) 中發現數個弱點，從而導致執行任意程式碼、Java Sandbox 遭入侵、資訊洩漏、拒絕服務或不安全的密碼編譯。

針對 Debian 6 'Squeeze'，這些問題已在 openjdk-6 的 6b36-1.13.8-1~deb6u1 版本中修正。

建議您升級 openjdk-6 套件。

如需深入瞭解 Debian Long Term Support (LTS) 專案以及套用這些更新的方式，請造訪：https://wiki.debian.org/LTS/

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

IBM Java 已更新至 6 SR16 FP7 (6.0-16.7)，可修正數個安全性問題和錯誤。

下列弱點已修正：

- CVE-2015-1931：IBM Java Security 元件會在記憶體轉儲存中儲存純文字資料，這可能會允許本機攻擊者取得資訊，藉此對系統發動進一步攻擊。

- CVE-2015-2590：Libraries 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2601：JCE 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2621：JMX 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2625：JSSE 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 SSL/TLS 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2632：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2637：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2638：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2664：Deployment 元件中存有一個難以惡意利用的弱點，需要登入作業系統。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2808：JSSE 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 SSL/TLS 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地更新、插入或刪除某些可供存取之 Java 資料的存取權，以及可供存取之 Java 資料的子集讀取存取權。

- CVE-2015-4000：JSSE 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 SSL/TLS 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地更新、插入或刪除某些可供存取之 Java 資料的存取權，以及可供存取之 Java Embedded 資料的子集讀取存取權。(bnc#935540)

- CVE-2015-4731：JMX 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4732：Libraries 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4733：RMI 元件中存有一個容易遭惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4748：Security 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 OCSP 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4749：JNDI 元件中存有一個難以惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權即可造成部分拒絕服務 (部分 DOS)。

- CVE-2015-4760：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

下列非安全性錯誤已修正：

- bsc#936844：設定錯誤的 update-alternative 項目

- bsc#941939：在 _jvmprivdir 中提供 %{name} 而非只提供
%{sdklnk}

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
85213	SUSE SLES11 安全性更新：java-1_7_1-ibm (SUSE-SU-2015:1329-1) (Bar Mitzvah) (Logjam)	Nessus	SuSE Local Security Checks	2015/8/4	2022/12/5	low
85379	SUSE SLES11 安全性更新：java-1_7_0-ibm (SUSE-SU-2015:1375-1) (Bar Mitzvah) (Logjam)	Nessus	SuSE Local Security Checks	2015/8/13	2022/12/5	low
85631	Amazon Linux AMI : java-1.6.0-openjdk (ALAS-2015-586) (Bar Mitzvah) (Logjam)	Nessus	Amazon Linux Local Security Checks	2015/8/26	2022/12/5	low
85695	Debian DLA-303-1：openjdk-6 安全性更新 (Bar Mitzvah) (Logjam)	Nessus	Debian Local Security Checks	2015/8/31	2022/12/5	low
85869	SUSE SLES11 安全性更新：java-1_6_0-ibm (SUSE-SU-2015:1509-1) (Bar Mitzvah) (Logjam)	Nessus	SuSE Local Security Checks	2015/9/9	2022/12/5	low

偵測

搜尋 Plugin

low

low

low

low

low