此 java-1_6_0-ibm 更新已更新至 6.0-16.20，可修正下列問題 (bsc#963937)

- CVE-2015-5041：可叫用特定情況下的非公用介面方法

- CVE-2015-7575：TLS 通訊協定允許 TLS 交握期間以 MD5 雜湊函式簽署 ServerKeyExchange 訊息時，使用因衝突攻擊而導致較預期安全性等級弱的版本。攻擊者可惡意利用此弱點，使用攔截式技術模擬 TLS 伺服器並取得認證。

- CVE-2015-7981：libpng 允許遠端攻擊者取得敏感資訊，這是因為 png_convert_to_rfc1123 函式超出邊界讀取所導致。攻擊者可惡意利用此弱點取得敏感資訊

- CVE-2015-8126：由於 png_set_PLTE() 和 png_get_PLTE() 函式的不當邊界檢查，導致 libpng 發生緩衝區溢位

- CVE-2015-8472：由於 png_set_PLTE() 和 png_get_PLTE() 函式的不當邊界檢查，導致 libpng 發生緩衝區溢位

- CVE-2015-8540：libpng 容易遭受緩衝區溢位影響，這是因為 pngwutil.c 中 png_check_keyword 的讀取反向溢位所導致。遠端攻擊者可藉由傳送超長引數，造成緩衝區溢位並在系統上執行任意程式碼，或造成應用程式損毀。

- CVE-2016-0402：與 Networking 元件相關的不明弱點不具任何機密性影響，有部分完整性影響，且不具可用性影響

- CVE-2016-0448：與 JMX 元件相關的不明弱點允許遠端攻擊者取得敏感資訊

- CVE-2016-0466：與 JAXP 元件相關的不明弱點允許遠端攻擊者造成拒絕服務

- CVE-2016-0483：與 AWT 元件相關的不明弱點具有完整的機密性、完整性及可用性影響

- CVE-2016-0494：與 2D 元件相關的不明弱點具有完整的機密性、完整性及可用性影響

下列錯誤已經修正：

- bsc#960402：解決 devel 套件中的套件衝突

- bsc#960286：解決字型子套件中的套件衝突

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此 java-1_7_0-ibm 更新已更新至 7.0-9.30，可修正下列問題 (bsc#963937)：

- CVE-2015-5041：可叫用特定情況下的非公用介面方法

- CVE-2015-7575：TLS 通訊協定允許 TLS 交握期間以 MD5 雜湊函式簽署 ServerKeyExchange 訊息時，使用因衝突攻擊而導致較預期安全性等級弱的版本。攻擊者可惡意利用此弱點，使用攔截式技術模擬 TLS 伺服器並取得認證。

- CVE-2015-7981：libpng 允許遠端攻擊者取得敏感資訊，這是因為 png_convert_to_rfc1123 函式超出邊界讀取所導致。攻擊者可惡意利用此弱點取得敏感資訊

- CVE-2015-8126：由於 png_set_PLTE() 和 png_get_PLTE() 函式的不當邊界檢查，導致 libpng 發生緩衝區溢位

- CVE-2015-8472：由於 png_set_PLTE() 和 png_get_PLTE() 函式的不當邊界檢查，導致 libpng 發生緩衝區溢位

- CVE-2015-8540：libpng 容易遭受緩衝區溢位影響，這是因為 pngwutil.c 中 png_check_keyword 的讀取反向溢位所導致。遠端攻擊者可藉由傳送超長引數，造成緩衝區溢位並在系統上執行任意程式碼，或造成應用程式損毀。

- CVE-2016-0402：與 Networking 元件相關的不明弱點不具任何機密性影響，有部分完整性影響，且不具可用性影響

- CVE-2016-0448：與 JMX 元件相關的不明弱點允許遠端攻擊者取得敏感資訊

- CVE-2016-0466：與 JAXP 元件相關的不明弱點允許遠端攻擊者造成拒絕服務

- CVE-2016-0483：與 AWT 元件相關的不明弱點具有完整的機密性、完整性及可用性影響

- CVE-2016-0494：與 2D 元件相關的不明弱點具有完整的機密性、完整性及可用性影響

下列錯誤已經修正：

- bsc#960402：解決 devel 套件中的套件衝突

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 MiracleLinux 7 主機已安裝受到多個弱點影響的套件如 AXSA:2016-039:01 公告中所提及。

    OpenJDK 運行時間環境。
    此版本修正的安全性問題
    CVE-2015-7575 在 3.20.2之前的 Mozilla Firefox 43.0.2 (之前的 Mozilla Firefox 和 [] 之前的 Firefox ESR 38.x38.5.2中所用的 Mozilla Network Security Services (NSS) 在 TLS 1.2 交握通訊協定流量中不會拒絕 Server Key Exchange 訊息中的 MD5 簽章這會讓攔截式攻擊者更容易藉由觸發衝突來偽造伺服器。
    CVE-2016-0402
    ** 保留 ** 此候選編號已由宣佈新安全性問題時將使用該編號的組織或個人所保留。當候選編號公佈時，將會提供此候選編號的詳細資料。
    CVE-2016-0448
    ** 保留 ** 此候選編號已由宣佈新安全性問題時將使用該編號的組織或個人所保留。當候選編號公佈時，將會提供此候選編號的詳細資料。
    CVE-2016-0466
    ** 保留 ** 此候選編號已由宣佈新安全性問題時將使用該編號的組織或個人所保留。當候選編號公佈時，將會提供此候選編號的詳細資料。
    CVE-2016-0475
    ** 保留 ** 此候選編號已由宣佈新安全性問題時將使用該編號的組織或個人所保留。當候選編號公佈時，將會提供此候選編號的詳細資料。
    CVE-2016-0483
    ** 保留 ** 此候選編號已由宣佈新安全性問題時將使用該編號的組織或個人所保留。當候選編號公佈時，將會提供此候選編號的詳細資料。
    CVE-2016-0494
    ** 保留 ** 此候選編號已由宣佈新安全性問題時將使用該編號的組織或個人所保留。當候選編號公佈時，將會提供此候選編號的詳細資料。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

來自 Red Hat 安全性公告 2016:0053：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 java-1.7.0-openjdk 套件，可修正多個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.7.0-openjdk 套件提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java Software Development Kit。

在 OpenJDK 之 AWT 元件的 JPEG 影像格式解碼器中發現一個超出邊界寫入瑕疵。特製的 JPEG 影像可造成 Java 應用程式損毀，或可能執行任意程式碼。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過 Java Sandbox 限制。(CVE-2016-0483)

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在一個整數正負號問題。特製的字型檔案可能導致 Java 虛擬機器執行任意程式碼，從而允許未受信任的 Java 應用程式或 applet 繞過 Java Sandbox 限制。(CVE-2016-0494)

據發現，OpenJDK 的 JAXP 元件未正確強制 totalEntitySizeLimit 限制。可以使 Java 應用程式處理特製 XML 檔案的攻擊者，可利用此瑕疵來使應用程式消耗過量記憶體。
(CVE-2016-0466)

在 TLS 1.2 可能於 TLS 交握期間使用 MD5 雜湊函式來簽署 ServerKeyExchange 與用戶端驗證封包的方式中發現一個瑕疵。能夠強制 TLS 連線使用 MD5 雜湊函式的攔截式攻擊者可能利用此瑕疵來執行衝突攻擊，以模擬 TLS 伺服器或經驗證的 TLS 用戶端。(CVE-2015-7575)

在 OpenJDK 的 Libraries、Networking 和 JMX 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2015-4871、CVE-2016-0402、CVE-2016-0448)

注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

注意：此更新也不允許在憑證路徑處理中使用 MD5 雜湊演算法。將 MD5 從在 java.security 檔案中定義的 jdk.certpath.disabledAlgorithms 安全性內容中移除後，可重新啟用 MD5 的使用。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

現已提供適用於 Oracle Java for Red Hat Enterprise Linux 5、6 和 7 的更新版 java-1.7.0-oracle 套件，可修正數個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Oracle Java SE 7 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。

此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的數個弱點。如需這些瑕疵的詳細資訊，請參閱 Oracle Java SE 重要修補程式更新公告頁面的＜參照＞一節內容。
(CVE-2015-7575、CVE-2015-8126、CVE-2015-8472、CVE-2016-0402、CVE-2016-0448、CVE-2016-0466、CVE-2016-0483、CVE-2016-0494)

注意：此更新也不允許在憑證路徑處理中使用 MD5 雜湊演算法。將 MD5 從在 java.security 檔案中定義的 jdk.certpath.disabledAlgorithms 安全性內容中移除後，可重新啟用 MD5 的使用。

建議所有 java-1.7.0-oracle 使用者皆升級至這些更新版套件，其提供 Oracle Java 7 Update 95 並可解決這些問題。必須重新啟動 Oracle Java 所有執行中的執行個體，此更新才會生效。

在 OpenJDK 之 AWT 元件的 JPEG 影像格式解碼器中發現一個超出邊界寫入瑕疵。特製的 JPEG 影像可造成 Java 應用程式損毀，或可能執行任意程式碼。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過 Java Sandbox 限制。(CVE-2016-0483)

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在一個整數正負號問題。特製的字型檔案可能導致 Java 虛擬機器執行任意程式碼，從而允許未受信任的 Java 應用程式或 applet 繞過 Java Sandbox 限制。(CVE-2016-0494)

據發現，OpenJDK 的 JAXP 元件未正確強制 totalEntitySizeLimit 限制。可以使 Java 應用程式處理特製 XML 檔案的攻擊者，可利用此瑕疵來使應用程式消耗過量記憶體。
(CVE-2016-0466)

在 TLS 1.2 可能於 TLS 交握期間使用 MD5 雜湊函式來簽署 ServerKeyExchange 與用戶端驗證封包的方式中發現一個瑕疵。能夠強制 TLS 連線使用 MD5 雜湊函式的攔截式攻擊者可能利用此瑕疵來執行衝突攻擊，以模擬 TLS 伺服器或經驗證的 TLS 用戶端。(CVE-2015-7575)

在 OpenJDK 的 Libraries、Networking 和 JMX 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2015-4871、CVE-2016-0402、CVE-2016-0448)

注意：此更新也不允許在憑證路徑處理中使用 MD5 雜湊演算法。將 MD5 從在 java.security 檔案中定義的 jdk.certpath.disabledAlgorithms 安全性內容中移除後，可重新啟用 MD5 的使用。

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

在 OpenJDK 之 AWT 元件的 JPEG 影像格式解碼器中發現一個超出邊界寫入瑕疵。特製的 JPEG 影像可造成 Java 應用程式損毀，或可能執行任意程式碼。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過 Java Sandbox 限制。(CVE-2016-0483)

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在一個整數正負號問題。特製的字型檔案可能導致 Java 虛擬機器執行任意程式碼，從而允許未受信任的 Java 應用程式或 applet 繞過 Java Sandbox 限制。(CVE-2016-0494)

據發現，OpenJDK 的 JAXP 元件未正確強制 totalEntitySizeLimit 限制。可以使 Java 應用程式處理特製 XML 檔案的攻擊者，可利用此瑕疵來使應用程式消耗過量記憶體。
(CVE-2016-0466)

在 TLS 1.2 可能於 TLS 交握期間使用 MD5 雜湊函式來簽署 ServerKeyExchange 與用戶端驗證封包的方式中發現一個瑕疵。能夠強制 TLS 連線使用 MD5 雜湊函式的攔截式攻擊者可能利用此瑕疵來執行衝突攻擊，以模擬 TLS 伺服器或經驗證的 TLS 用戶端。(CVE-2015-7575)

在 OpenJDK 的 Libraries、Networking 和 JMX 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2015-4871、CVE-2016-0402、CVE-2016-0448)

注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

注意：此更新也不允許在憑證路徑處理中使用 MD5 雜湊演算法。將 MD5 從在 java.security 檔案中定義的 jdk.certpath.disabledAlgorithms 安全性內容中移除後，可重新啟用 MD5 的使用。

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

java-1_7_0-openjdk 已更新至版本 7u95，可修正 9 個安全性問題。(bsc#962743)

- CVE-2015-4871：重新繫結 DirectMethodHandle 的接收器，可能允許存取受保護的方法

- CVE-2015-7575：進一步減少使用 MD5 (SLOTH) (bsc#960996)

- CVE-2015-8126：AWT 元件中一個與顯示 splashscreen 相關的弱點

- CVE-2015-8472：AWT 元件中的一個弱點，已透過相同修正解決

- CVE-2016-0402：Networking 元件中一個與 URL 處理相關的弱點

- CVE-2016-0448：JMX 元件中一個與屬性處理相關的弱點

- CVE-2016-0466：JAXP 元件中一個與限制相關的弱點

- CVE-2016-0483：AWT 元件中一個與影像解碼相關的弱點

- CVE-2016-0494：2D 元件中一個與字型動作相關的弱點

下列錯誤已經修正：

- bsc#939523：java-1_7_0-openjdk-headless 具有 X 相依性，會將 libjavagtk 移至完整套件

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-201603-14 中所述的弱點影響 (IcedTea：多個弱點)

IcedTea 中有多個 OpenJDK 攻擊向量 (例如 2D、Corba、Hotspot、Libraries 和 JAXP) 存在，其可允許遠端攻擊者影響有弱點之系統的機密性、完整性和可用性。這包含可能遠端執行任意程式碼、資訊洩漏或拒絕服務。許多弱點只能夠透過沙箱 Java Web Start 應用程式和 Java applet 來加以惡意利用。如需詳細資訊，請參閱所列的 CVE。
 影響：

遠端攻擊者可遠端執行任意程式碼、入侵資訊，或造成拒絕服務。
 因應措施：

目前尚無已知的因應措施。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2016:1430 公告中提及的多個弱點影響。

    IBM Java SE 版本 7 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

    此更新會將 IBM Java SE 7 升級至 7 SR9-FP40 和 7R1 SR3-FP40 版。

    安全性修正:

    * 此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的多個弱點。有關這些缺陷的進一步資訊，請查閱〈參考資料〉一節所列的「IBM Java 安全性警示」頁面連結內容。(CVE-2015-4734、CVE-2015-4803、CVE-2015-4805、CVE-2015-4806、CVE-2015-4810、CVE-2015-4835、CVE-2015-4840、CVE-2015-4842、CVE-2015-4843、CVE-2015-4844、CVE-2015-4860、CVE-2015-4871、CVE-2015-4872、CVE-2015-4882、CVE-2015-4883、CVE-2015-4893、CVE-2015-4902、CVE-2015-4903、CVE-2015-5006、CVE-2015-5041、CVE-2015-7575、CVE-2015-7981、CVE-2015-8126、CVE-2015-8472、CVE-2015-8540、CVE-2016-0264、CVE-2016-0363、CVE-2016-0376、CVE-2016-0402、CVE-2016-0448、CVE-2016-0466、CVE-2016-0483、CVE-2016-0494、CVE-2016-0686、CVE-2016-0687、CVE-2016-3422、CVE-2016-3426、CVE-2016-3427、CVE-2016-3443、CVE-2016-3449)

    Red Hat 要感謝 Truel IT 的 Andrea Palazzo 報告 CVE-2015-4806 問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
88709	SUSE SLES11 安全性更新：java-1_6_0-ibm (SUSE-SU-2016:0431-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/12	2021/1/19	critical
88710	SUSE SLES11 安全性更新：java-1_7_0-ibm (SUSE-SU-2016:0433-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/12	2021/1/19	critical
289212	MiracleLinux 7 java-1.8.0-openjdk-1.8.0.71-2.b15.el7 (AXSA:2016-039:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	medium
88070	Oracle Linux 6：java-1.7.0-openjdk (ELSA-2016-0053) (SLOTH)	Nessus	Oracle Linux Local Security Checks	2016/1/22	2025/2/18	high
88075	RHEL 5 / 6 / 7：java-1.7.0-oracle (RHSA-2016:0056) (SLOTH)	Nessus	Red Hat Local Security Checks	2016/1/22	2019/10/24	high
88079	Scientific Linux 安全性更新：SL5.x、SL7.x i386/x86_64 上的 java-1.7.0-openjdk (SLOTH)	Nessus	Scientific Linux Local Security Checks	2016/1/22	2021/1/14	medium
88080	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 java-1.7.0-openjdk (SLOTH)	Nessus	Scientific Linux Local Security Checks	2016/1/22	2021/1/14	medium
88485	SUSE SLED12 / SLES12 安全性更新：java-1_7_0-openjdk (SUSE-SU-2016:0265-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/1/29	2021/1/6	high
89657	SUSE SLES11 安全性更新：java-1_7_0-ibm (SUSE-SU-2016:0636-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/3/4	2021/1/19	critical
89961	SUSE SLES11 安全性更新：java-1_6_0-ibm (SUSE-SU-2016:0770-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/3/16	2021/1/19	critical
89907	GLSA-201603-14：IcedTea：多個弱點	Nessus	Gentoo Local Security Checks	2016/3/14	2022/3/8	critical
92400	RHEL 6:java-1.7.0-ibm 和 java-1.7.1-ibm (RHSA-2016:1430)	Nessus	Red Hat Local Security Checks	2016/7/19	2025/4/15	critical

偵測

搜尋 Plugin

critical

critical

medium

high

high

medium

medium

high

critical

critical

critical

critical