远程主机上安装的 Amazon Corretto 版本为低于 11.0.4.11.1 的 11 版本。因此，其会受到 corretto-11-2019-Jul-16 公告中提及的多个漏洞影响。

  - Security (CVE-2019-2745, CVE-2019-2786, CVE-2019-2818)

  - Utilities（CVE-2019-2762、CVE-2019-2769）

  - Networking（CVE-2019-2766、CVE-2019-2816）

  - JSSE (CVE-2019-2821)

  - AWT (libpng) (CVE-2019-7317)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

来自 Red Hat 安全公告 2019:1810： java-11-openjdk 的更新现在可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 java-11-openjdk 程序包提供 OpenJDK 11 Java Runtime Environment 和 OpenJDK 11 Java 软件开发工具包。 安全补丁： * OpenJDK：椭圆曲线 (EC) 加密算法中存在边信道攻击风险 (Security, 8208698) (CVE-2019-2745) * OpenJDK：反序列化中阻止异常的检查不足 (Utilities, 8212328) (CVE-2019-2762) * OpenJDK：集合中反序列化期间的无限内存分配 (Utilities, 8213432) (CVE-2019-2769) * OpenJDK：缺少 URL 格式验证 (Networking, 8221518) (CVE-2019-2816) * OpenJDK：TLS 握手期间不正确的证书状态消息处理 (JSSE, 8222678) (CVE-2019-2821) * OpenJDK：AccessController 中的权限限制不足 (Security, 8216381) (CVE-2019-2786) * OpenJDK：在 ChaCha20Cipher 中，不固定的时间比较 (Security, 8221344) (CVE-2019-2818) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

安全补丁：- OpenJDK: 椭圆曲线 (Elliptic Curve , EC) 加密中存在边信道攻击风险（安全, 8208698）(CVE-2019-2745) - OpenJDK: 对反序列化中的禁止异常检查不充分（实用工具，8212328）(CVE-2019-2762) - OpenJDK: 集合中的反序列化期间存在无限内存分配（实用工具，8213432）(CVE-2019-2769) - OpenJDK: 缺少 URL 格式验证（网络，8221518）(CVE-2019-2816) - OpenJDK: TLS 握手期间未正确处理证书状态消息 (JSSE, 8222678) (CVE-2019-2821) - OpenJDK: AccessController 权限限制不足（安全，8216381）(CVE-2019-2786) - OpenJDK: ChaCha20Cipher 非常量时间比较（安全，8221344）(CVE-2019-2818)

OpenJDK: AccessController 中权限限制不足（安全，8216381） (CVE-2019-2786) OpenJDK: 集合中的反序列化期间存在无限内存分配（实用工具，8213432） (CVE-2019-2769) libpng: 在 libpng 中，png.c 的 png_image_free 中存在释放后使用情形，这是因为在 png_safe_executee 下调用 png_image_free_function 所致。(CVE-2019-7317) OpenJDK: 对反序列化中的禁止异常检查不充分（实用工具，8212328）(CVE-2019-2762) OpenJDK: Windows 中的 file:// URL 权限检查不充分（网络，8213431）(CVE-2019-2766) OpenJDK: ChaCha20Cipher 非常量时间比较（安全，8221344）( CVE-2019-2818) OpenJDK: 缺少 URL 格式验证（网络，8221518） (CVE-2019-2816) OpenJDK: 椭圆曲线 (Elliptic Curve , EC) 加密中存在边信道攻击风险 （安全，8208698） (CVE-2019-2745) OpenJDK: TLS 握手期间未正确处理证书状态消息 (JSSE, 8222678) (CVE-2019-2821)

远程主机上安装的 OpenJDK 版本为 7u221 或其之前的 7/8u212 或其之前的 8/11.0.3 或其之前的 11.0.0/12.0.1 或其之前的 12.0.0。因此，该应用程序受到 2019 年 7 月 16 日公告中提及的多个漏洞的影响。

请注意：Java CVE 并不总是包含 OpenJDK 版本，但会由 Tenable 使用 OpenJDK 安全公告中提及的修补程序版本进行单独确认。

  - 在 1.6.37 之前的 libpng 1.6.x 中，在 png.c 的 png_image_free 中存在释放后使用，这是在 png_safe_execute 中调用 png_image_free_function 所致。(CVE-2019-7317)

  - Oracle Java SE 的 Java SE 组件中存在漏洞（子组件：JSSE）。支持的版本中受影响的是 Java SE：11.0.3 和 12.0.1。难以利用的漏洞允许未经身份验证的攻击者通过 TLS 进行网络访问，从而破坏 Java SE。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致在未经授权的情况下访问重要数据，或完整访问所有可供访问的 Java SE 数据。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞不适用于 Java 部署，通常在仅加载并运行可信代码（如管理员安装的代码）的服务器上。CVSS 3.0 基本分数 5.3（机密性影响）。CVSS 向量：
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N)。(CVE-2019-2821)

  - Oracle Java SE 的 Java SE、Java SE Embedded 组件中存在漏洞（子组件：实用工具）。
    支持的版本中受影响的是 Java SE：7u221、8u212、11.0.3 和 12.0.1；Java SE Embedded：
    8u211。可轻松利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE、Java SE Embedded 部分拒绝服务（部分 DOS）。
    注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。CVSS 3.0 基本分数 5.3（可用性影响）。CVSS 向量：
    (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)。（CVE-2019-2762、CVE-2019-2769）

  - Oracle Java SE 的 Java SE 组件中存在漏洞（子组件：Security）。支持的版本中受影响的是 Java SE：7u221、8u212 和 11.0.3。难以利用的漏洞允许未经身份验证的攻击者登录 Java SE 执行的基础结构，从而破坏 Java SE。
    成功攻击此漏洞可导致在未经授权的情况下访问重要数据，或完整访问所有可供访问的 Java SE 数据。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。CVSS 3.0 基本分数 5.1（机密性影响）。CVSS 向量：(CVSS:3.0/AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N)。(CVE-2019-2745)

  - Oracle Java SE 的 Java SE、Java SE Embedded 组件中存在漏洞（子组件：Networking）。
    支持的版本中受影响的是 Java SE：7u221、8u212、11.0.3 和 12.0.1；Java SE Embedded：
    8u211。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除某些 Java SE、Java SE Embedded 可访问数据的访问权限，以及对 Java SE、Java SE Embedded 可访问数据子集进行未经授权的读取访问。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。CVSS 3.0 基本分数 4.8（机密性和完整性影响）。CVSS 向量：
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N)。(CVE-2019-2816)

  - Oracle Java SE 的 Java SE 组件中存在漏洞（子组件：JCE）。支持的版本中受影响的是 Java SE：8u212。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Java SE 部分拒绝服务（部分 DOS）。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。CVSS 3.0 基本分数 3.7（可用性影响）。CVSS 向量：
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2842)

  - Oracle Java SE 的 Java SE、Java SE Embedded 组件中存在漏洞（子组件：Security）。
    支持的版本中受影响的是 Java SE：8u212、11.0.3 和 12.0.1；Java SE Embedded：8u211。
    难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Java SE、Java SE Embedded 中，但攻击也可能会严重影响其他产品。成功攻击此漏洞可导致对 Java SE、Java SE Embedded 可访问数据子集进行未经授权的读取访问。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。CVSS 3.0 基本分数 3.4（机密性影响）。CVSS 向量：
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N)。(CVE-2019-2786)

  - Oracle Java SE 的 Java SE 组件中存在漏洞（子组件：Security）。支持的版本中受影响的是 Java SE：11.0.3 和 12.0.1。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致对 Java SE 可访问数据子集进行未经授权的读取访问。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞不适用于 Java 部署，通常在仅加载并运行可信代码（如管理员安装的代码）的服务器上。CVSS 3.0 基本分数 3.1（机密性影响）。CVSS 向量：
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N)。(CVE-2019-2818)

  - Oracle Java SE 的 Java SE、Java SE Embedded 组件中存在漏洞（子组件：Networking）。
    支持的版本中受影响的是 Java SE：7u221、8u212、11.0.3 和 12.0.1；Java SE Embedded：
    8u211。难以利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Java SE、Java SE Embedded。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致对 Java SE、Java SE Embedded 可访问数据子集进行未经授权的读取访问。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在沙盒式 Java Web Start 应用程序或沙盒式 Java 小程序（在 Java SE 8 中）的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。CVSS 3.0 基本分数 3.1（机密性影响）。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N)。(CVE-2019-2766)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

來自 Red Hat 安全性公告 2019:1810： 現已提供適用於 Red Hat Enterprise Linux 7 的 java-11-openjdk 更新。 Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 Java-11-openjdk 套件提供 OpenJDK 11 Java Runtime Environment 和 OpenJDK 11 Java Software Development Kit。 安全性修正： * OpenJDK：橢圓曲線 (EC) 加密演算法中存在旁路攻擊風險 (Security, 8208698) (CVE-2019-2745) * OpenJDK：還原序列化中抑制例外的檢查不足 (Utilities, 8212328) (CVE-2019-2762) * OpenJDK：Collections 中還原序列化期間的無限記憶體配置 (Utilities, 8213432) (CVE-2019-2769) * OpenJDK：缺少 URL 格式驗證 (Networking, 8221518) (CVE-2019-2816) * OpenJDK：TLS 交握期間不正確的憑證狀態訊息處理 (JSSE, 8222678) (CVE-2019-2821) * OpenJDK：AccessController 中的權限制不足 (Security, 8216381) (CVE-2019-2786) * OpenJDK：在 ChaCha20Cipher 中，非常數的時間比較 (Security, 8221344) (CVE-2019-2818) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

安全性修正：- OpenJDK：橢圓曲線 (EC) 密碼編譯中的旁路攻擊風險 (安全性，8208698) (CVE-2019-2745) - OpenJDK：在還原序列化中，對抑制例外的檢查不充分 (公用程式，8212328) (CVE-2019-2762) - OpenJDK：在 Collections 中進行還原序列化時，發生無限制記憶體配置 (公用程式，8213432) (CVE-2019-2769) - OpenJDK：缺少 URL 格式驗證 (網路，8221518) (CVE-2019-2816) - OpenJDK：TLS 交握時，認證狀態訊息的處理不正確 (JSSE，8222678) (CVE-2019-2821) - OpenJDK：AccessController 中的權限限制不充分 (安全性，8216381) (CVE-2019-2786) - OpenJDK：ChaCha20Cipher 中的非常數時間比較 (安全性，8221344) (CVE-2019-2818)

OpenJDK：AccessController 中的權限限制不充分 (安全性，8216381) (CVE-2019-2786) OpenJDK：在 Collections 中進行還原序列化時，發生無限制記憶體配置 (公用程式，8213432) (CVE-2019-2769) libpng：在 libpng 中，png.c 的 png_image_free 中有釋放後使用情形，因為 png_image_free_function 是在 png_safe_execute 下遭到呼叫。(CVE-2019-7317) OpenJDK：: 在還原序列化中，對抑制例外的檢查不充分 (公用程式，8212328) (CVE-2019-2762) OpenJDK：在 Windows 中，對 file:// URL 的權限檢查不充分 (網路，8213431) (CVE-2019-2766) OpenJDK：ChaCha20Cipher 中的非常數時間比較 (安全性，8221344) ( CVE-2019-2818) OpenJDK：缺少 URL 格式驗證 (網路，8221518) (CVE-2019-2816) OpenJDK：橢圓曲線 (EC) 密碼編譯中的旁路攻擊風險 (安全性，8208698) (CVE-2019-2745) OpenJDK：TLS 交握時，認證狀態訊息的處理不正確 (JSSE，8222678) (CVE-2019-2821)

遠端主機上安裝的 OpenJDK 版本早於 7 <= 7u221 / 8 <= 8u212 / 11.0.0 <= 11.0.3 / 12.0.0 <= 12.0.1。因此，會受到 2019-07-16 公告中所提及的多個弱點影響。

請注意：Java CVE 不一定會包含 OpenJDK 版本，但會由 Tenable 使用所提及的 OpenJDK 安全性公告中的修補程式版本予以單獨確認。

  - 在 1.6.37 之前的 libpng 1.6.x 版中，png.c 的 png_image_free 有釋放後使用情形，這是在 png_safe_execute 下呼叫 png_image_free_function 所致。(CVE-2019-7317)

  - Oracle Java SE 的 Java SE 元件中有一個弱點 (子元件：JSSE)。受影響的支援版本是 Java SE：11.0.3 和 12.0.1。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過 TLS 來危害 Java SE。若要成功攻擊，必須有攻擊者以外之他人的互動。成功攻擊此弱點可導致未經授權地存取重要資料，或完整存取所有可供存取的 Java SE 資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 5.3 (機密性影響)。CVSS 向量：
    (CVSS：3.0/AV：N/AC：H/PR：N/UI：R/S：U/C：H/I：N/A：N)。(CVE-2019-2821)

  Oracle Java SE 的 Java SE、Java SE Embedded 元件中存在弱點 (子元件：Utilities)。
    受影響的支援版本是 Java SE：7u221、8u212、11.0.3 和 12.0.1；Java SE Embedded：
    8u211。此弱點較易攻擊，能夠透過多個通訊協定存取網路的未經驗證攻擊者可藉此入侵 Java SE、Java SE Embedded。若成功攻擊此弱點，未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。
    注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 5.3 (可用性影響)。CVSS 向量：
    (CVSS：3.0/AV：N/AC：L/PR：N/UI：N/S：U/C：N/I：N/A：L)。(CVE-2019-2762、CVE-2019-2769)

  - Oracle Java SE 的 Java SE 元件中有一個弱點 (子元件：Security)。受影響的支援版本是 Java SE：7u221、8u212 和 11.0.3。難以惡意利用的弱點允許未經驗證的攻擊者登入 Java SE 執行所在的基礎結構以危害 Java SE。
    成功攻擊此弱點可導致未經授權地存取重要資料，或完整存取所有可供存取的 Java SE 資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 5.1 (機密性影響)。CVSS 向量：(CVSS：3.0/AV：L/AC：H/PR：N/UI：N/S：U/C：H/I：N/A：N)。(CVE-2019-2745)

  Oracle Java SE 的 Java SE、Java SE Embedded 元件中存在弱點 (子元件：Networking)。
    受影響的支援版本是 Java SE：7u221、8u212、11.0.3 和 12.0.1；Java SE Embedded：
    8u211。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若成功攻擊此弱點，未經授權即可更新、插入或刪除某些 Java SE、Java SE Embedded 可存取資料，以及未經授權讀取 Java SE、Java SE Embedded 可存取資料的子集。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 4.8 (機密性和完整性影響)。CVSS 向量：
    (CVSS：3.0/AV：N/AC：H/PR：N/UI：N/S：U/C：L/I：L/A：N)。(CVE-2019-2816)

  - Oracle Java SE 的 Java SE 元件中有一個弱點 (子元件：JCE)。受影響的支援版本為 Java SE：8u212。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Java SE。成功攻擊此弱點可導致未經授權即可造成 Java SE 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：
    (CVSS：3.0/AV：N/AC：H/PR：N/UI：N/S：U/C：N/I：N/A：L)。(CVE-2019-2842)

  Oracle Java SE 的 Java SE、Java SE Embedded 元件中存在弱點 (子元件：Security)。
    受影響的支援版本是 Java SE：8u212、11.0.3 和 12.0.1；Java SE Embedded：8u211。
    攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若要成功攻擊，必須有攻擊者以外之他人的互動，且雖然弱點位於 Java SE、Java SE Embedded 中，但攻擊可能對其他產品造成重大影響。若成功攻擊此弱點，未經授權即可讀取 Java SE、Java SE Embedded 可存取資料的子集。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 3.4 (機密性影響)。CVSS 向量：
    (CVSS：3.0/AV：N/AC：H/PR：N/UI：R/S：C/C：L/I：N/A：N)。(CVE-2019-2786)

  - Oracle Java SE 的 Java SE 元件中有一個弱點 (子元件：Security)。受影響的支援版本是 Java SE：11.0.3 和 12.0.1。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Java SE。若要成功攻擊，必須有攻擊者以外之他人的互動。若成功攻擊此弱點，未經授權即可讀取 Java SE 可存取資料的子集。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 3.1 (機密性影響)。CVSS 向量：
    (CVSS：3.0/AV：N/AC：H/PR：N/UI：R/S：U/C：L/I：N/A：N)。(CVE-2019-2818)

  Oracle Java SE 的 Java SE、Java SE Embedded 元件中存在弱點 (子元件：Networking)。
    受影響的支援版本是 Java SE：7u221、8u212、11.0.3 和 12.0.1；Java SE Embedded：
    8u211。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若要成功攻擊，必須有攻擊者以外之他人的互動。若成功攻擊此弱點，未經授權即可讀取 Java SE、Java SE Embedded 可存取資料的子集。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 3.1 (機密性影響)。CVSS 向量：(CVSS：3.0/AV：N/AC：H/PR：N/UI：R/S：U/C：L/I：N/A：N)。(CVE-2019-2766)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

The remote Oracle Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the ELSA-2019-1810 advisory.

    [1:11.0.4.11-0.0.1]
    - link atomic for ix86 build

    [1:11.0.4.11-0]
    - Update to shenandoah-jdk-11.0.4+11 (GA)
    - Switch to GA mode for final release.
    - Resolves: rhbz#1724452

    [1:11.0.4.10-0.0.ea]
    - Update to shenandoah-jdk-11.0.4+10 (EA)
    - Resolves: rhbz#1724452

    [1:11.0.4.9-0.0.ea]
    - Update to shenandoah-jdk-11.0.4+9 (EA)
    - Resolves: rhbz#1724452

    [1:11.0.4.8-0.0.ea]
    - Update to shenandoah-jdk-11.0.4+8 (EA)
    - Resolves: rhbz#1724452

    [1:11.0.4.7-0.0.ea]
    - Update to shenandoah-jdk-11.0.4+7 (EA)
    - Resolves: rhbz#1724452

    [1:11.0.4.6-0.0.ea]
    - Provide Javadoc debug subpackages for now, but populate them from the normal build.
    - Resolves: rhbz#1724452

    [1:11.0.4.6-0.0.ea]
    - Update to shenandoah-jdk-11.0.4+6 (EA)
    - Resolves: rhbz#1724452

    [1:11.0.4.5-0.0.ea]
    - Update to shenandoah-jdk-11.0.4+5 (EA)
    - Resolves: rhbz#1724452

    [1:11.0.4.4-0.0.ea]
    - Update to shenandoah-jdk-11.0.4+4 (EA)
    - Resolves: rhbz#1724452

    [1:11.0.4.3-0.0.ea]
    - Update to shenandoah-jdk-11.0.4+3 (EA)
    - Resolves: rhbz#1724452

    [1:11.0.4.2-0.0.ea]
    - Use RHEL 7 format for jspawnhelper addition.
    - Resolves: rhbz#1724452

    [1:11.0.4.2-0.0.ea]
    - Update to shenandoah-jdk-11.0.4+2 (EA)
    - Resolves: rhbz#1724452

    [1:11.0.4.2-0.1.ea]
    - Package jspawnhelper (see JDK-8220360).
    - Resolves: rhbz#1724452

    [1:11.0.3.7-2]
    - Include 'ea' designator in Release when appropriate.
    - Resolves: rhbz#1724452

    [1:11.0.3.7-2]
    - Handle milestone as variables so we can alter it easily and set the docs zip filename appropriately.
    - Resolves: rhbz#1724452

    [1:11.0.3.7-1]
    - Don't build the test images needlessly.
    - Don't produce javadoc/javadoc-zip sub packages for the debug variant build.
    - Don't perform a bootcycle build for the debug variant build.
    - Resolves: rhbz#1724452

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Security Fix(es) :

  - OpenJDK: Side-channel attack risks in Elliptic Curve     (EC) cryptography (Security, 8208698) (CVE-2019-2745)

  - OpenJDK: Insufficient checks of suppressed exceptions in     deserialization (Utilities, 8212328) (CVE-2019-2762)

  - OpenJDK: Unbounded memory allocation during     deserialization in Collections (Utilities, 8213432)     (CVE-2019-2769)

  - OpenJDK: Missing URL format validation (Networking,     8221518) (CVE-2019-2816)

  - OpenJDK: Incorrect handling of certificate status     messages during TLS handshake (JSSE, 8222678)     (CVE-2019-2821)

  - OpenJDK: Insufficient restriction of privileges in     AccessController (Security, 8216381) (CVE-2019-2786)

  - OpenJDK: Non-constant time comparison in ChaCha20Cipher     (Security, 8221344) (CVE-2019-2818)

OpenJDK: Insufficient restriction of privileges in AccessController (Security, 8216381) (CVE-2019-2786)

OpenJDK: Unbounded memory allocation during deserialization in Collections (Utilities, 8213432) (CVE-2019-2769)

libpng: png_image_free in png.c in libpng has a use-after-free because png_image_free_function is called under png_safe_execute.
(CVE-2019-7317)

OpenJDK: Insufficient checks of suppressed exceptions in deserialization (Utilities, 8212328) (CVE-2019-2762)

OpenJDK: Insufficient permission checks for file:// URLs on Windows (Networking, 8213431) (CVE-2019-2766)

OpenJDK: Non-constant time comparison in ChaCha20Cipher (Security, 8221344) (

CVE-2019-2818)

OpenJDK: Missing URL format validation (Networking, 8221518) (CVE-2019-2816)

OpenJDK: Side-channel attack risks in Elliptic Curve (EC) cryptography (Security, 8208698) (CVE-2019-2745)

OpenJDK: Incorrect handling of certificate status messages during TLS handshake (JSSE, 8222678) (CVE-2019-2821)

An update of the openjdk8 package has been released.

The version of OpenJDK installed on the remote host is prior to 7 <= 7u221 / 8 <= 8u212 / 11.0.0 <= 11.0.3 / 12.0.0 <= 12.0.1. It is, therefore, affected by multiple vulnerabilities as referenced in the 2019-07-16 advisory.

Please Note: Java CVEs do not always include OpenJDK versions, but are confirmed separately by Tenable using the patch versions from the referenced OpenJDK security advisory.

  - png_image_free in png.c in libpng 1.6.x before 1.6.37 has a use-after-free because png_image_free_function     is called under png_safe_execute. (CVE-2019-7317)

  - Vulnerability in the Java SE component of Oracle Java SE (subcomponent: JSSE). Supported versions that are     affected are Java SE: 11.0.3 and 12.0.1. Difficult to exploit vulnerability allows unauthenticated     attacker with network access via TLS to compromise Java SE. Successful attacks require human interaction     from a person other than the attacker. Successful attacks of this vulnerability can result in unauthorized     access to critical data or complete access to all Java SE accessible data. Note: This vulnerability     applies to Java deployments, typically in clients running sandboxed Java Web Start applications or     sandboxed Java applets (in Java SE 8), that load and run untrusted code (e.g., code that comes from the     internet) and rely on the Java sandbox for security. This vulnerability does not apply to Java     deployments, typically in servers, that load and run only trusted code (e.g., code installed by an     administrator). CVSS 3.0 Base Score 5.3 (Confidentiality impacts). CVSS Vector:
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N). (CVE-2019-2821)

  - Vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE (subcomponent: Utilities).
    Supported versions that are affected are Java SE: 7u221, 8u212, 11.0.3 and 12.0.1; Java SE Embedded:
    8u211. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple     protocols to compromise Java SE, Java SE Embedded. Successful attacks of this vulnerability can result in     unauthorized ability to cause a partial denial of service (partial DOS) of Java SE, Java SE Embedded.
    Note: This vulnerability applies to Java deployments, typically in clients running sandboxed Java Web     Start applications or sandboxed Java applets (in Java SE 8), that load and run untrusted code (e.g., code     that comes from the internet) and rely on the Java sandbox for security. This vulnerability can also be     exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the     APIs. CVSS 3.0 Base Score 5.3 (Availability impacts). CVSS Vector:
    (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L). (CVE-2019-2762, CVE-2019-2769)

  - Vulnerability in the Java SE component of Oracle Java SE (subcomponent: Security). Supported versions that     are affected are Java SE: 7u221, 8u212 and 11.0.3. Difficult to exploit vulnerability allows     unauthenticated attacker with logon to the infrastructure where Java SE executes to compromise Java SE.
    Successful attacks of this vulnerability can result in unauthorized access to critical data or complete     access to all Java SE accessible data. Note: This vulnerability applies to Java deployments, typically in     clients running sandboxed Java Web Start applications or sandboxed Java applets (in Java SE 8), that load     and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for     security. This vulnerability can also be exploited by using APIs in the specified Component, e.g., through     a web service which supplies data to the APIs. CVSS 3.0 Base Score 5.1 (Confidentiality impacts). CVSS     Vector: (CVSS:3.0/AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N). (CVE-2019-2745)

  - Vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE (subcomponent: Networking).
    Supported versions that are affected are Java SE: 7u221, 8u212, 11.0.3 and 12.0.1; Java SE Embedded:
    8u211. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple     protocols to compromise Java SE, Java SE Embedded. Successful attacks of this vulnerability can result in     unauthorized update, insert or delete access to some of Java SE, Java SE Embedded accessible data as well     as unauthorized read access to a subset of Java SE, Java SE Embedded accessible data. Note: This     vulnerability applies to Java deployments, typically in clients running sandboxed Java Web Start     applications or sandboxed Java applets (in Java SE 8), that load and run untrusted code (e.g., code that     comes from the internet) and rely on the Java sandbox for security. This vulnerability can also be     exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the     APIs. CVSS 3.0 Base Score 4.8 (Confidentiality and Integrity impacts). CVSS Vector:
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N). (CVE-2019-2816)

  - Vulnerability in the Java SE component of Oracle Java SE (subcomponent: JCE). The supported version that     is affected is Java SE: 8u212. Difficult to exploit vulnerability allows unauthenticated attacker with     network access via multiple protocols to compromise Java SE. Successful attacks of this vulnerability can     result in unauthorized ability to cause a partial denial of service (partial DOS) of Java SE. Note: This     vulnerability applies to Java deployments, typically in clients running sandboxed Java Web Start     applications or sandboxed Java applets (in Java SE 8), that load and run untrusted code (e.g., code that     comes from the internet) and rely on the Java sandbox for security. This vulnerability can also be     exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the     APIs. CVSS 3.0 Base Score 3.7 (Availability impacts). CVSS Vector:
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L). (CVE-2019-2842)

  - Vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE (subcomponent: Security).
    Supported versions that are affected are Java SE: 8u212, 11.0.3 and 12.0.1; Java SE Embedded: 8u211.
    Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple     protocols to compromise Java SE, Java SE Embedded. Successful attacks require human interaction from a     person other than the attacker and while the vulnerability is in Java SE, Java SE Embedded, attacks may     significantly impact additional products. Successful attacks of this vulnerability can result in     unauthorized read access to a subset of Java SE, Java SE Embedded accessible data. Note: This     vulnerability applies to Java deployments, typically in clients running sandboxed Java Web Start     applications or sandboxed Java applets (in Java SE 8), that load and run untrusted code (e.g., code that     comes from the internet) and rely on the Java sandbox for security. This vulnerability can also be     exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the     APIs. CVSS 3.0 Base Score 3.4 (Confidentiality impacts). CVSS Vector:
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N). (CVE-2019-2786)

  - Vulnerability in the Java SE component of Oracle Java SE (subcomponent: Security). Supported versions that     are affected are Java SE: 11.0.3 and 12.0.1. Difficult to exploit vulnerability allows unauthenticated     attacker with network access via multiple protocols to compromise Java SE. Successful attacks require     human interaction from a person other than the attacker. Successful attacks of this vulnerability can     result in unauthorized read access to a subset of Java SE accessible data. Note: This vulnerability     applies to Java deployments, typically in clients running sandboxed Java Web Start applications or     sandboxed Java applets (in Java SE 8), that load and run untrusted code (e.g., code that comes from the     internet) and rely on the Java sandbox for security. This vulnerability does not apply to Java     deployments, typically in servers, that load and run only trusted code (e.g., code installed by an     administrator). CVSS 3.0 Base Score 3.1 (Confidentiality impacts). CVSS Vector:
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N). (CVE-2019-2818)

  - Vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE (subcomponent: Networking).
    Supported versions that are affected are Java SE: 7u221, 8u212, 11.0.3 and 12.0.1; Java SE Embedded:
    8u211. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple     protocols to compromise Java SE, Java SE Embedded. Successful attacks require human interaction from a     person other than the attacker. Successful attacks of this vulnerability can result in unauthorized read     access to a subset of Java SE, Java SE Embedded accessible data. Note: This vulnerability applies to Java     deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets     (in Java SE 8), that load and run untrusted code (e.g., code that comes from the internet) and rely on the     Java sandbox for security. This vulnerability can also be exploited by using APIs in the specified     Component, e.g., through a web service which supplies data to the APIs. CVSS 3.0 Base Score 3.1     (Confidentiality impacts). CVSS Vector: (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N). (CVE-2019-2766)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
159436	Amazon Corretto Java 11.x < 11.0.4.11.1 多个漏洞	Nessus	Misc.	2022/4/1	2025/2/20	medium
126936	Oracle Linux 7 : java-11-openjdk (ELSA-2019-1810)	Nessus	Oracle Linux Local Security Checks	2019/7/23	2025/2/25	medium
126944	Scientific Linux 安全更新：SL7.x x86_64 中的 java-11-openjdk	Nessus	Scientific Linux Local Security Checks	2019/7/23	2025/2/25	medium
126958	Amazon Linux 2 : java-11-amazon-corretto (ALAS-2019-1246)	Nessus	Amazon Linux Local Security Checks	2019/7/24	2025/2/25	medium
151215	OpenJDK 7 <= 7u221 / 8 <= 8u212 / 11.0.0 <= 11.0.3 / 12.0.0 <= 12.0.1 多个漏洞 (2019-07-16)	Nessus	Misc.	2021/7/7	2025/2/20	medium
126936	Oracle Linux 7 : java-11-openjdk (ELSA-2019-1810)	Nessus	Oracle Linux Local Security Checks	2019/7/23	2025/2/25	medium
126944	Scientific Linux 安全性更新：SL7.x x86_64 上的 java-11-openjdk	Nessus	Scientific Linux Local Security Checks	2019/7/23	2025/2/25	medium
126958	Amazon Linux 2：java-11-amazon-corretto (ALAS-2019-1246)	Nessus	Amazon Linux Local Security Checks	2019/7/24	2025/2/25	medium
151215	OpenJDK 7 <= 7u221 / 8 <= 8u212 / 11.0.0 <= 11.0.3 / 12.0.0 <= 12.0.1 多個弱點 (2019-07-16)	Nessus	Misc.	2021/7/7	2025/2/20	medium
126936	Oracle Linux 7 : java-11-openjdk (ELSA-2019-1810)	Nessus	Oracle Linux Local Security Checks	2019/7/23	2025/2/25	medium
126944	Scientific Linux Security Update : java-11-openjdk on SL7.x x86_64 (20190722)	Nessus	Scientific Linux Local Security Checks	2019/7/23	2025/2/25	medium
126958	Amazon Linux 2 : java-11-amazon-corretto (ALAS-2019-1246)	Nessus	Amazon Linux Local Security Checks	2019/7/24	2025/2/25	medium
130102	Photon OS 3.0: Openjdk8 PHSA-2019-3.0-0035	Nessus	PhotonOS Local Security Checks	2019/10/22	2025/8/22	medium
151215	OpenJDK 7 <= 7u221 / 8 <= 8u212 / 11.0.0 <= 11.0.3 / 12.0.0 <= 12.0.1 Multiple Vulnerabilities (2019-07-16)	Nessus	Misc.	2021/7/7	2025/2/20	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium