安全性修正：- OpenJDK：不當處理 Kerberos 代理伺服器認證 (Kerberos、8220302) (CVE-2019-2949) - OpenJDK：Nashorn 中處理規則運算式時擲回不明的例外狀況 (指令碼，8223518) (CVE-2019-2975) - OpenJDK：Jar URL 處理常式中發生不當處理巢狀 jar: URL (網路、8223892) (CVE-2019-2978) - OpenJDK：HttpURLConnection 中發生不當處理 HTTP proxy 回應 (網路、8225298) (CVE-2019-2989) - OpenJDK：缺少自訂 SocketImpl 使用限制 (網路、8218573) (CVE-2019-2945) - OpenJDK：DrawGlyphList 中出現 NULL 指標解除參照 (2D, 8222690) (CVE-2019-2962) - OpenJDK：模式處理特製規則運算式擲回不明的例外狀況 (並行、8222684) (CVE-2019-2964) - OpenJDK：XPathParser 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8223505) (CVE-2019-2973) - OpenJDK：XPath 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8224532) (CVE-2019-2981) - OpenJDK：字型物件還原序列化期間擲回不明的例外狀況 (序列化、8224915) (CVE-2019-2983) - OpenJDK：FreetypeFontScaler 中缺少字符點陣圖影像尺寸檢查 (2D、8225286) (CVE-2019-2987) - OpenJDK：SunGraphics2D 中的邊界檢查出現整數溢位 (2D, 8225292) (CVE-2019-2988) - OpenJDK：讀取 TrueType 字型時在 CMap 中發生過度記憶體配置 (2D、8225597) (CVE-2019-2992) - OpenJDK：Javadoc 中發生 HTML 事件屬性篩選不足 (Javadoc、8226765) (CVE-2019-2999)

來自 Red Hat 安全性公告 2019:3157： 現已提供適用於 Red Hat Enterprise Linux 7 的 java-1.7.0-openjdk 更新。 Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 Java-1.7.0-openjdk 套件提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java Software Development Kit。 安全性修正： * OpenJDK：Jar URL 處理常式中巢狀 jar: URL 的錯誤處理 (Networking, 8223892) (CVE-2019-2978) * OpenJDK：HttpURLConnection 中對 HTTP 代理回應的錯誤處理 (Networking, 8225298) (CVE-2019-2989) * OpenJDK：缺少對使用自訂 SocketImpl 的限制 (Networking, 8218573) (CVE-2019-2945) * OpenJDK：DrawGlyphList 中的 NULL 指標解除參照 (2D, 8222690) (CVE-2019-2962) * OpenJDK：由模式處理特製的規則運算式擲回的意外異常 (Concurrency, 8222684) (CVE-2019-2964) * OpenJDK：由 XPathParser 處理特製的 XPath 運算式擲回的意外異常 (JAXP, 8223505) (CVE-2019-2973) * OpenJDK：由 XPath 處理特製的 XPath 運算式擲回的意外異常 (JAXP, 8224532) (CVE-2019-2981) * OpenJDK：Font 物件還原序列化期間擲回的意外異常 (Serialization, 8224915) (CVE-2019-2983) * OpenJDK：FreetypeFontScaler 中缺少字形點陣圖影像尺寸檢查 (2D, 8225286) (CVE-2019-2987) * OpenJDK：在 SunGraphics2D 中，邊界檢查中的整數溢位 (2D, 8225292) (CVE-2019-2988) * OpenJDK：當讀取 TrueType 字型時，CMap 中的記憶體配置過多 (2D, 8225597) (CVE-2019-2992) * OpenJDK：Javadoc 中對 HTML 事件屬性的篩選不足 (Javadoc, 8226765) (CVE-2019-2999) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

安全性修正：- OpenJDK：Jar URL 處理常式中發生不當處理巢狀 jar: URL (網路、8223892) (CVE-2019-2978) - OpenJDK：HttpURLConnection 中發生不當處理 HTTP proxy 回應 (網路、8225298) (CVE-2019-2989) - OpenJDK：缺少自訂 SocketImpl 使用限制 (網路、8218573) (CVE-2019-2945) - OpenJDK：DrawGlyphList 中出現 NULL 指標解除參照 (2D, 8222690) (CVE-2019-2962) - OpenJDK：模式處理特製規則運算式擲回不明的例外狀況 (並行、8222684) (CVE-2019-2964) - OpenJDK：XPathParser 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8223505) (CVE-2019-2973) - OpenJDK：XPath 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8224532) (CVE-2019-2981) - OpenJDK：字型物件還原序列化期間擲回不明的例外狀況 (序列化、8224915) (CVE-2019-2983) - OpenJDK：FreetypeFontScaler 中缺少字符點陣圖影像尺寸檢查 (2D、8225286) (CVE-2019-2987) - OpenJDK：SunGraphics2D 中的邊界檢查出現整數溢位 (2D, 8225292) (CVE-2019-2988) - OpenJDK：讀取 TrueType 字型時在 CMap 中發生過度記憶體配置 (2D、8225597) (CVE-2019-2992) - OpenJDK：Javadoc 中發生 HTML 事件屬性篩選不足 (Javadoc、8226765) (CVE-2019-2999) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

遠端主機上安裝的 Amazon Corretto 版本是 11.0.5.10.1 之前的 11 版本。因此，其會受到 corretto-11-2019-Oct-15 公告中提及的多個弱點影響。

  - security-libs/javax.net.ssl (CVE-2019-2894、CVE-2019-2949)

  - core-libs (CVE-2019-2933)

  - core-libs/java.net (CVE-2019-2945、CVE-2019-2978、CVE-2019-2989)

  - core-libs/java.lang (CVE-2019-2958)

  - client-libs/2d (CVE-2019-2962、CVE-2019-2983、CVE-2019-2987、CVE-2019-2988、CVE-2019-2992)

  - core-libs/java.util.regex (CVE-2019-2964)

  - xml/jaxp (CVE-2019-2973、CVE-2019-2981)

  - core-libs/javax.script (CVE-2019-2975)

  - hotspot/compiler (CVE-2019-2977)

  - tools/javadoc (CVE-2019-2999)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

現已提供適用於 Red Hat Enterprise Linux 7 的 java-1.7.0-openjdk 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Java-1.7.0-openjdk 套件提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java Software Development Kit。安全性修正：* OpenJDK：Jar URL 處理常式中發生不當處理巢狀 jar: URL (網路、8223892) (CVE-2019-2978) * OpenJDK：HttpURLConnection 中發生不當處理 HTTP proxy 回應 (網路、8225298) (CVE-2019-2989) * OpenJDK：缺少自訂 SocketImpl 使用限制 (網路、8218573) (CVE-2019-2945) * OpenJDK：DrawGlyphList 中出現 NULL 指標解除參照 (2D, 8222690) (CVE-2019-2962) * OpenJDK：模式處理特製規則運算式擲回不明的例外狀況 (並行、8222684) (CVE-2019-2964) * OpenJDK：XPathParser 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8223505) (CVE-2019-2973) * OpenJDK：XPath 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8224532) (CVE-2019-2981) * OpenJDK：字型物件還原序列化期間擲回不明的例外狀況 (序列化、8224915) (CVE-2019-2983) * OpenJDK：FreetypeFontScaler 中缺少字符點陣圖影像尺寸檢查 (2D、8225286) (CVE-2019-2987) * OpenJDK：SunGraphics2D 中的邊界檢查出現整數溢位 (2D, 8225292) (CVE-2019-2988) * OpenJDK：讀取 TrueType 字型時在 CMap 中發生過度記憶體配置 (2D、8225597) (CVE-2019-2992) * OpenJDK：Javadoc 中發生 HTML 事件屬性篩選不足 (Javadoc、8226765) (CVE-2019-2999) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

遠端主機上安裝的 AOS 版本低於 6.10.1。因此，它受到 NXSA-AOS-6.10.1 公告中所提及的多個弱點影響。

  - 在 2.6.3之前的 libexpat 中發現一個問題。xmlparse.c 中的 nextScaffoldPart 可使 32 位元平台上的 m_groupSize 發生整數溢位 (其中 UINT_MAX 等於 SIZE_MAX)。(CVE-2024-45492)

  - 在 bzip2 (1.0.6 版之前) 中，存在許多選取器時，decompress.c 的 BZ2_decompress 會發生超出邊界寫入的問題。(CVE-2019-12900)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下更新、插入或刪除 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的部分可存取資料。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21131)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下造成 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版局部拒絕服務 (局部 DOS)。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21138)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下更新、插入或刪除 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的部分可存取資料，以及在未經授權的情況下讀取 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可存取資料的子集。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21140)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 AOS 版本低於 7.0.1。因此會受到 NXSA-AOS-7.0.1 公告中提及的多個弱點影響。

  - 在 bzip2 (1.0.6 版之前) 中，存在許多選取器時，decompress.c 的 BZ2_decompress 會發生超出邊界寫入的問題。(CVE-2019-12900)

  - 在 PAM 中發現一個弱點。敏感資訊儲存在記憶體中，攻擊者可透過將字元傳送至受害程式的標準輸入 (stdin)，觸發其執行特定行為。在此過程中，攻擊者可訓練分支預測器，以推測方式執行 ROP 鏈結。此缺陷可能導致密碼洩漏，例如在驗證過程中讀取到的 /etc/shadow 檔案。(CVE-2024-10041)

  - 在 pam_access 中發現一個缺陷，其設定檔中的特定規則會被誤認為主機名稱。此弱點允許攻擊者偽裝成受信任的主機名稱，誘騙系統以取得未經授權的存取權。對於依賴此功能來控制哪些使用者可存取特定服務或終端機的系統，此問題會造成風險。(CVE-2024-10963)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下更新、插入或刪除 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的部分可存取資料。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21131)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下造成 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版局部拒絕服務 (局部 DOS)。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21138)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
130048	Scientific Linux 安全性更新：SL7.x x86_64 上的 java-1.8.0-openjdk	Nessus	Scientific Linux Local Security Checks	2019/10/18	2024/4/17	medium
130138	Oracle Linux 7 : java-1.7.0-openjdk (ELSA-2019-3157)	Nessus	Oracle Linux Local Security Checks	2019/10/22	2024/10/22	medium
130157	Scientific Linux 安全性更新：SL7.x x86_64 上的 java-1.7.0-openjdk	Nessus	Scientific Linux Local Security Checks	2019/10/23	2020/2/24	medium
159435	Amazon Corretto Java 11.x < 11.0.5.10.1 多個弱點	Nessus	Misc.	2022/4/1	2022/5/6	medium
130180	CentOS 7：java-1.7.0-openjdk (CESA-2019:3157)	Nessus	CentOS Local Security Checks	2019/10/24	2019/12/18	medium
215141	Nutanix AOS：多個弱點 (NXSA-AOS-6.10.1)	Nessus	Misc.	2025/2/7	2025/7/22	critical
242588	Nutanix AOS多個弱點 (NXSA-AOS-7.0.1)	Nessus	Misc.	2025/7/22	2025/7/22	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

critical

critical