此 java-1_7_0-openjdk 的更新為 2.6.6 版，修正五個安全性問題。

已修正這些安全性問題：

- CVE-2016-0686：確保執行緒一致性 (bsc#976340)。

- CVE-2016-0687：更完善的位元組行為 (bsc#976340)。

- CVE-2016-0695：讓 DSA 更公平 (bsc#976340)。

- CVE-2016-3425：更完善的 XML 字串緩衝 (bsc#976340)。

- CVE-2016-3427：改善 JMX 連線 (bsc#976340)。

此更新是從 SUSE:SLE-12:Update 更新專案匯入。

現已提供適用於 Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6 與 Red Hat Enterprise Linux 7 的 java-1.6.0-openjdk 更新。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.6.0-openjdk 套件提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Java Software Development Kit。

安全性修正：

* 在 OpenJDK 的 Serialization 和 Hotspot 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵完全繞過 Java Sandbox 限制。
(CVE-2016-0686、CVE-2016-0687)

* 據發現，OpenJDK 之 JMX 元件中的 RMI 伺服器實作未限制還原序列化驗證認證時可還原序列化的類別。能夠連線至 JMX 連接埠的未經驗證遠端攻擊者可能利用此瑕疵觸發還原序列化瑕疵。(CVE-2016-3427)

* 據發現，OpenJDK 中的 JAXP 元件無法正確處理作為 XML 屬性值的一部分使用的 Unicode 替代組。特製的 XML 輸入可造成 Java 應用程式在剖析時使用過量記憶體。
(CVE-2016-3425)

* 據發現，OpenJDK 中的安全性元件在產生 DSA 簽章時無法檢查摘要演算法強度。
使用比金鑰強度弱的摘要可導致產生比預期弱的簽章。
(CVE-2016-0695)

安全性修正：

- 在 OpenJDK 的 Serialization 和 Hotspot 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵完全繞過 Java Sandbox 限制。
 (CVE-2016-0686、CVE-2016-0687)

- 據發現，OpenJDK 之 JMX 元件中的 RMI 伺服器實作未限制還原序列化驗證認證時可還原序列化的類別。能夠連線至 JMX 連接埠的未經驗證遠端攻擊者可能利用此瑕疵觸發還原序列化瑕疵。
 (CVE-2016-3427)

- 據發現，OpenJDK 中的 JAXP 元件無法正確處理作為 XML 屬性值的一部分使用的 Unicode 替代組。特製的 XML 輸入可造成 Java 應用程式在剖析時使用過量記憶體。(CVE-2016-3425)

- 據發現，OpenJDK 中的 Security 元件在產生 DSA 簽章時無法檢查摘要演算法強度。使用比金鑰強度弱的摘要可導致產生比預期弱的簽章。
 (CVE-2016-0695)

在 OpenJDK 的 Serialization 和 Hotspot 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵完全繞過 Java Sandbox 限制。
(CVE-2016-0686、CVE-2016-0687)

據發現，OpenJDK 之 JMX 元件中的 RMI 伺服器實作未限制還原序列化驗證認證時可還原序列化的類別。能夠連線至 JMX 連接埠的未經驗證遠端攻擊者可能利用此瑕疵觸發還原序列化瑕疵。(CVE-2016-3427)

據發現，OpenJDK 中的 JAXP 元件無法正確處理作為 XML 屬性值的一部分使用的 Unicode 替代組。特製的 XML 輸入可造成 Java 應用程式在剖析時使用過量記憶體。
(CVE-2016-3425)

據發現，OpenJDK 中的 Security 元件在產生 DSA 簽章時無法檢查摘要演算法強度。
使用比金鑰強度弱的摘要可導致產生比預期弱的簽章。
(CVE-2016-0695)

來自 Red Hat 安全性公告 2016:0650：

現已提供適用於 Red Hat Enterprise Linux 7 的 java-1.8.0-openjdk 更新。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.8.0-openjdk 套件提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java Software Development Kit。

安全性修正：

* 在 OpenJDK 的 Serialization 和 Hotspot 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵完全繞過 Java Sandbox 限制。
(CVE-2016-0686、CVE-2016-0687)

* 據發現，OpenJDK 之 JMX 元件中的 RMI 伺服器實作未限制還原序列化驗證認證時可還原序列化的類別。能夠連線至 JMX 連接埠的未經驗證遠端攻擊者可能利用此瑕疵觸發還原序列化瑕疵。(CVE-2016-3427)

* 據發現，OpenJDK 中的 JAXP 元件無法正確處理作為 XML 屬性值的一部分使用的 Unicode 替代組。特製的 XML 輸入可造成 Java 應用程式在剖析時使用過量記憶體。
(CVE-2016-3425)

* 據發現，OpenJDK 中 JCE 元件的 GCM (Galois/計數器模式) 實作在比較 GCM 驗證標籤時使用非常數時間比較。遠端攻擊者可能利用此瑕疵確定驗證標籤的值。(CVE-2016-3426)

* 據發現，OpenJDK 中的安全性元件在產生 DSA 簽章時無法檢查摘要演算法強度。
使用比金鑰強度弱的摘要可導致產生比預期弱的簽章。
(CVE-2016-0695)

注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

現已提供適用於 Red Hat Enterprise Linux 6 的 java-1.8.0-openjdk 更新。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.8.0-openjdk 套件提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java Software Development Kit。

安全性修正：

* 在 OpenJDK 的 Serialization 和 Hotspot 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵完全繞過 Java Sandbox 限制。
(CVE-2016-0686、CVE-2016-0687)

* 據發現，OpenJDK 之 JMX 元件中的 RMI 伺服器實作未限制還原序列化驗證認證時可還原序列化的類別。能夠連線至 JMX 連接埠的未經驗證遠端攻擊者可能利用此瑕疵觸發還原序列化瑕疵。(CVE-2016-3427)

* 據發現，OpenJDK 中的 JAXP 元件無法正確處理作為 XML 屬性值的一部分使用的 Unicode 替代組。特製的 XML 輸入可造成 Java 應用程式在剖析時使用過量記憶體。
(CVE-2016-3425)

* 據發現，OpenJDK 中 JCE 元件的 GCM (Galois/計數器模式) 實作在比較 GCM 驗證標籤時使用非常數時間比較。遠端攻擊者可能利用此瑕疵確定驗證標籤的值。(CVE-2016-3426)

* 據發現，OpenJDK 中的安全性元件在產生 DSA 簽章時無法檢查摘要演算法強度。
使用比金鑰強度弱的摘要可導致產生比預期弱的簽章。
(CVE-2016-0695)

遠端 VMware vRealize Operations Manager (vROps) 6.x 主機受到 Oracle JRE JMX 元件中的一個遠端程式碼執行弱點影響，這是因為與驗證認證還原序列化有關的一個瑕疵所導致。未經驗證的遠端攻擊者可利用此弱點執行任意程式碼。

請注意，只有非應用裝置版 vRealize Operations Manager 會受到此弱點影響。

遠端 Redhat Enterprise Linux 5 / 6 主機上安裝的套件受到 RHSA-2016:1430 公告中提及的多個弱點影響。

  - OpenJDK：kerberos 領域名稱洩漏 (JGSS，8048030) (CVE-2015-4734)

  - OpenJDK：XML 剖析期間使用雜湊表和清單的方式沒有效率 (JAXP，8068842) (CVE-2015-4803)

  - OpenJDK：遺漏檢查 ObjectStreamClass 中是否正確初始化 (序列化，8103671) (CVE-2015-4805)

  - OpenJDK：HttpURLConnection 標頭限制繞過 (程式庫，8130193) (CVE-2015-4806)

  - Oracle JDK：已解決 7u91 和 8u65 中的不明弱點 (部署) (CVE-2015-4810)

  - OpenJDK：StubGenerator 中的權限檢查不足 (CORBA，8076383) (CVE-2015-4835)

  - OpenJDK：CMS 程式碼中的 OOB 存取 (2D，8086092) (CVE-2015-4840)

  - OpenJDK：user.dir 位置洩漏 (JAXP，8078427) (CVE-2015-4842)

  - OpenJDK：java.nio 緩衝區整數溢位問題 (程式庫，8130891) (CVE-2015-4843)

  - ICU：配置引擎中遺漏邊界檢查 (OpenJDK 2D，8132042) (CVE-2015-4844)

  - OpenJDK：DGCImpl 中使用了不正確的存取控制內容 (RMI，8080688) (CVE-2015-4860)

  - OpenJDK：受保護的方法可透過 DirectMethodHandle 做為介面方法使用 (程式庫) (CVE-2015-4871)

  - OpenJDK：AlgorithmChecker 的限制執行不完整 (安全性，8131291) (CVE-2015-4872)

  - OpenJDK：IIOPInputStream 中的字串物件還原序列化不正確 (CORBA，8076387) (CVE-2015-4882)

  - OpenJDK：DGCClient 中使用了不正確的存取控制內容 (RMI，8076413) (CVE-2015-4883)

  - OpenJDK：不完整的 MaxXMLNameLimit 執行 (JAXP，8086733) (CVE-2015-4893)

  - Oracle JDK：已解決 6u105、7u91 和 8u65 中的不明弱點 (部署) (CVE-2015-4902)

  - OpenJDK：RemoteObjectInvocationHandler 中的 proxy 類別檢查不充分 (RMI，8076339) (CVE-2015-4903)

  - IBM JDK：本機洩漏 kerberos 憑證快取 (CVE-2015-5006)

  - IBM JDK：J9 JVM 允許程式碼啟用非公開介面方法 (CVE-2015-5041)

  - TLS 1.2 防止在金鑰交換通訊協定中對 MD5 的轉譯衝突攻擊 (SLOTH) (CVE-2015-7575)

  - libpng：png_convert_to_rfc1123 中的超出邊界讀取 (CVE-2015-7981)

  - libpng：png_get_PLTE/png_set_PLTE 函式中的緩衝區溢位弱點 (CVE-2015-8126、CVE-2015-8472)

  - libpng：png_check_keyword() 中的反向溢位讀取 (CVE-2015-8540)

  - IBM JDK：IBM JVM 中的緩衝區溢位弱點 (CVE-2016-0264)

  - IBM JDK：CORBA 元件中叫用方法的不安全使用，不正確的 CVE-2013-3009 修正 (CVE-2016-0363)

  - IBM JDK：CORBA 中不安全的還原序列化，不正確的 CVE-2013-5456 修正 (CVE-2016-0376)

  - OpenJDK：URL 還原序列化不一致 (網路，8059054) (CVE-2016-0402)

  - OpenJDK：記錄 RMI 連線密碼 (JMX，8130710) (CVE-2016-0448)

  - OpenJDK：totalEntitySizeLimit 的執行不充分 (JAXP，8133962) (CVE-2016-0466)

  - OpenJDK：JPEG 解碼器中的邊界檢查不正確 (AWT，8139017) (CVE-2016-0483)

  - ICU：IndicRearrangementProcessor 中的整數正負號問題 (OpenJDK 2D，8140543) (CVE-2016-0494)

  - OpenJDK：ObjectInputStream 中的執行緒一致性檢查不足 (序列化，8129952) (CVE-2016-0686)

  - OpenJDK：不充分的位元組類型檢查 (Hotspot，8132051) (CVE-2016-0687)

  - Oracle JDK：已修正 6u115、7u101 和 8u91 中的不明弱點 (2D) (CVE-2016-3422、CVE-2016-3443)

  - OpenJDK：非常數時間 GCM 驗證標籤比較 (JCE，8143945) (CVE-2016-3426)

  - OpenJDK：驗證認證未受限制的還原序列化 (JMX，8144430) (CVE-2016-3427)

  - Oracle JDK：已解決 6u115、7u101 和 8u91 中的不明弱點 (部署)(CVE-2016-3449)：

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Oracle Java SE 6u113、7u99 和 8u77，以及 Java SE Embedded 8u77 和 JRockit R28.3.9 中有不明弱點，允許遠端攻擊者透過與 JMX 有關的向量而影響機密性、完整性和可用性。(CVE-2016-3427)

此 IBM Java 1.6.0 SR16 FP25 版本可修正下列問題：

修正的安全性問題：

- CVE-2016-0264：IBM JVM 中的緩衝區溢位弱點 (bsc#977648)

- CVE-2016-0363：CORBA 元件中叫用方法的不安全使用，不正確的 CVE-2013-3009 修正 (bsc#977650)

- CVE-2016-0376：CORBA 中不安全的還原序列化，不正確的 CVE-2013-5456 修正 (bsc#977646)

- 下列 CVE 也已在此更新期間得到修正。
 (bsc#979252) CVE-2016-3443、CVE-2016-0687、CVE-2016-0686、CVE-2016-3427、CVE-2016-3449、CVE-2016-3422、CVE-2016-3426

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其自我報告的版本，遠端 Windows 主機上安裝的 IBM WebSphere MQ 伺服器為不含 Fix Pack 7.1.0.8 的 7.1 版、不含 Fix Pack 7.5.0.7 的 7.5 版，或不含 Fix Pack 8.0.0.5 的 8.0 版。因此，會受到多個弱點影響：

- IBM JVM 中存在一個緩衝區溢位情形，這是因為不當驗證使用者提供的輸入所導致。未經驗證的遠端攻擊者可惡意利用此弱點，造成拒絕服務情形或在有限情況下執行任意程式碼。
 (CVE-2016-0264)

- JCE 子元件中存在一個不明瑕疵，會允許未經驗證的遠端攻擊者洩漏潛在的敏感資訊。(CVE-2016-3426)

- JMX 子元件存在一個不明瑕疵，其允許經驗證的遠端攻擊者影響機密性、完整性和可用性。目前尚無其他詳細資料可以提供。(CVE-2016-3427)

ID	名稱	產品	系列	已發布	已更新	嚴重性
90985	openSUSE 安全性更新：java-1_7_0-openjdk (openSUSE-2016-573)	Nessus	SuSE Local Security Checks	2016/5/9	2023/5/14	critical
91034	RHEL 5 / 6 / 7：java-1.6.0-openjdk (RHSA-2016:0723)	Nessus	Red Hat Local Security Checks	2016/5/11	2023/5/14	critical
91040	Scientific Linux 安全性更新：SL5.x、SL6.x、SL7.x i386/x86_64 上的 java-1.6.0-openjdk	Nessus	Scientific Linux Local Security Checks	2016/5/11	2023/5/14	critical
91048	Amazon Linux AMI : java-1.6.0-openjdk (ALAS-2016-700)	Nessus	Amazon Linux Local Security Checks	2016/5/12	2023/5/14	critical
90613	Oracle Linux 7 : java-1.8.0-openjdk (ELSA-2016-0650)	Nessus	Oracle Linux Local Security Checks	2016/4/21	2023/5/14	critical
90616	RHEL 6：java-1.8.0-openjdk (RHSA-2016:0651)	Nessus	Red Hat Local Security Checks	2016/4/21	2023/5/14	critical
90635	CentOS 6 : java-1.8.0-openjdk (CESA-2016:0651)	Nessus	CentOS Local Security Checks	2016/4/22	2023/5/14	critical
91339	VMware VRealize Operations Manager 6.x Oracle JRE JMX 還原序列化 RCE (VMSA-2016-0005)	Nessus	Misc.	2016/5/26	2023/5/14	critical
92400	RHEL 5 / 6：java-1.7.0-ibm 和 java-1.7.1-ibm (RHSA-2016:1430)	Nessus	Red Hat Local Security Checks	2016/7/19	2024/6/3	critical
95969	F5 網路 BIG-IP：Oracle Java SE 弱點 (K73112451)	Nessus	F5 Networks Local Security Checks	2016/12/21	2024/6/18	critical
91309	SUSE SLES11 安全性更新：java-1_6_0-ibm (SUSE-SU-2016:1379-1)	Nessus	SuSE Local Security Checks	2016/5/24	2024/6/18	critical
93049	IBM WebSphere MQ 7.1 < 7.1.0.8 / 7.5 < 7.5.0.7 / 8.0 < 8.0.0.5 多個弱點	Nessus	Windows	2016/8/19	2023/5/14	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical