遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

已发现 Java2D 在将图形渲染对象传递到本机渲染程序之前未正确检查这些对象。
恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷来导致 Java 虚拟机 (JVM) 崩溃，或者绕过 Java 沙盒限制。(CVE-2012-0497)

已发现反序列化失败时引发的异常未始终包含对失败原因的正确标识。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2012-0505)

AtomicReferenceArray 类实现未正确检查数组是否为预期的 Object[] 类型。恶意 Java 应用程序或小程序可利用此缺陷来绕过 Java 沙盒限制。(CVE-2011-3571)

已发现 SecurityManager 未限制对 TimeZone.setDefault() 的使用，从而允许不受信任的 Java 应用程序或小程序设置新的默认时区并因此绕过 Java 沙盒限制。(CVE-2012-0503)

HttpServer 类未限制从 HTTP 请求中读取的标头的数量。远程攻击者可利用此缺陷，通过特别构建的请求导致使用 HttpServer 的应用程序使用过量 CPU 时间。此更新引入使用 sun.net.httpserver.maxReqHeaders 属性进行控制的标头计数限制。默认值为 200。(CVE-2011-5035)

Java Sound 组件未正确检查缓冲区边界。
恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷来导致 Java 虚拟机 (JVM) 崩溃，或者泄露其内存的一部分。(CVE-2011-3563)

在 AWT KeyboardFocusManager 中发现一个缺陷，该缺陷可允许不受信任的 Java 应用程序或小程序获取键盘焦点并可能窃取敏感信息。(CVE-2012-0502)

已发现 Java 中的 CORBA（公共对象请求代理体系架构）实现未正确保护某些 CORBA 对象上的存储库标识符。此问题可被利用来修改不可变的对象数据。(CVE-2012-0506)

在用于 ZIP 文件的解包程序中发现一个导致堆栈溢出的差一缺陷。特别构建的 ZIP 存档可在打开时导致 Java 虚拟机 (JVM) 崩溃。(CVE-2012-0501)

来自 Red Hat 安全公告 2012:0135：

更新后的 java-1.6.0-openjdk 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些程序包提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Software Development Kit。

已发现 Java2D 在将图形渲染对象传递到本机渲染程序之前未正确检查这些对象。
恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷来导致 Java 虚拟机 (JVM) 崩溃，或者绕过 Java 沙盒限制。(CVE-2012-0497)

已发现反序列化失败时引发的异常未始终包含对失败原因的正确标识。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2012-0505)

AtomicReferenceArray 类实现未正确检查数组是否为预期的 Object[] 类型。恶意 Java 应用程序或小程序可利用此缺陷来绕过 Java 沙盒限制。(CVE-2011-3571)

已发现 SecurityManager 未限制对 TimeZone.setDefault() 的使用，从而允许不受信任的 Java 应用程序或小程序设置新的默认时区并因此绕过 Java 沙盒限制。(CVE-2012-0503)

HttpServer 类未限制从 HTTP 请求中读取的标头的数量。远程攻击者可利用此缺陷，通过特别构建的请求导致使用 HttpServer 的应用程序使用过量 CPU 时间。此更新引入使用 sun.net.httpserver.maxReqHeaders 属性进行控制的标头计数限制。默认值为 200。(CVE-2011-5035)

Java Sound 组件未正确检查缓冲区边界。
恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷来导致 Java 虚拟机 (JVM) 崩溃，或者泄露其内存的一部分。(CVE-2011-3563)

在 AWT KeyboardFocusManager 中发现一个缺陷，该缺陷可允许不受信任的 Java 应用程序或小程序获取键盘焦点并可能窃取敏感信息。(CVE-2012-0502)

已发现 Java 中的 CORBA（公共对象请求代理体系架构）实现未正确保护某些 CORBA 对象上的存储库标识符。此问题可被利用来修改不可变的对象数据。(CVE-2012-0506)

在用于 ZIP 文件的解包程序中发现一个导致堆栈溢出的差一缺陷。特别构建的 ZIP 存档可在打开时导致 Java 虚拟机 (JVM) 崩溃。(CVE-2012-0501)

注意：安装由 icedtea-web 程序包提供的 Web 浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在不与用户交互的情况下被利用。

此勘误表还将 OpenJDK 程序包升级到 IcedTea6 1.10.6。
有关更多信息，请参阅“参考”中链接的 NEWS 文件。

建议所有 java-1.6.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

java-1_6_0-openjdk 已更新到 b24 版本，修复了多种安全问题：

dbg114-java-1_6_0-openjdk-5856 java-1_6_0-openjdk-5856 new_updateinfo 安全补丁

- S7082299，CVE-2011-3571：AtomicReferenceArray 中的补丁

- S7088367，CVE-2011-3563：修复 java sound 中的问题

- S7110683，CVE-2012-0502：某种 KeyboardFocusManager 方法的问题

- S7110687，CVE-2012-0503：TimeZone 类的问题

- S7110700，CVE-2012-0505：增强 ObjectStreamClass 中的异常抛出机制

- S7110704，CVE-2012-0506：corba 中某种方法的问题

- S7112642、CVE-2012-0497：图形渲染对象的检查不正确

- S7118283，CVE-2012-0501：zip 文件处理中更好的输入参数检查

- S7126960，CVE-2011-5035：(httpserver) 添加属性以限制 HTTP 服务器的请求标头的数量

更新后的 java-1.6.0-openjdk 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些程序包提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Software Development Kit。

已发现 Java2D 在将图形渲染对象传递到本机渲染程序之前未正确检查这些对象。
恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷来导致 Java 虚拟机 (JVM) 崩溃，或者绕过 Java 沙盒限制。(CVE-2012-0497)

已发现反序列化失败时引发的异常未始终包含对失败原因的正确标识。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2012-0505)

AtomicReferenceArray 类实现未正确检查数组是否为预期的 Object[] 类型。恶意 Java 应用程序或小程序可利用此缺陷来绕过 Java 沙盒限制。(CVE-2011-3571)

已发现 SecurityManager 未限制对 TimeZone.setDefault() 的使用，从而允许不受信任的 Java 应用程序或小程序设置新的默认时区并因此绕过 Java 沙盒限制。(CVE-2012-0503)

HttpServer 类未限制从 HTTP 请求中读取的标头的数量。远程攻击者可利用此缺陷，通过特别构建的请求导致使用 HttpServer 的应用程序使用过量 CPU 时间。此更新引入使用 sun.net.httpserver.maxReqHeaders 属性进行控制的标头计数限制。默认值为 200。(CVE-2011-5035)

Java Sound 组件未正确检查缓冲区边界。
恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷来导致 Java 虚拟机 (JVM) 崩溃，或者泄露其内存的一部分。(CVE-2011-3563)

在 AWT KeyboardFocusManager 中发现一个缺陷，该缺陷可允许不受信任的 Java 应用程序或小程序获取键盘焦点并可能窃取敏感信息。(CVE-2012-0502)

已发现 Java 中的 CORBA（公共对象请求代理体系架构）实现未正确保护某些 CORBA 对象上的存储库标识符。此问题可被利用来修改不可变的对象数据。(CVE-2012-0506)

在用于 ZIP 文件的解包程序中发现一个导致堆栈溢出的差一缺陷。特别构建的 ZIP 存档可在打开时导致 Java 虚拟机 (JVM) 崩溃。(CVE-2012-0501)

注意：安装由 icedtea-web 程序包提供的 Web 浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在无用户交互的情况下被利用。

此勘误表还将 OpenJDK 程序包升级到 IcedTea6 1.10.6。
有关更多信息，请参阅“参考”中链接的 NEWS 文件。

建议所有 java-1.6.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

java-1_6_0-openjdk 已更新到 IcedTea 1.11.1 b24 版本，修复了多种安全问题：

- S7082299，CVE-2011-3571：AtomicReferenceArray 中的补丁

- S7088367，CVE-2011-3563：修复 java sound 中的问题

- S7110683，CVE-2012-0502：某种 KeyboardFocusManager 方法的问题

- S7110687，CVE-2012-0503：TimeZone 类的问题

- S7110700，CVE-2012-0505：增强 ObjectStreamClass 中的异常抛出机制

- S7110704，CVE-2012-0506：corba 中某种方法的问题

- S7112642、CVE-2012-0497：图形渲染对象的检查不正确

- S7118283，CVE-2012-0501：zip 文件处理中更好的输入参数检查

- S7126960，CVE-2011-5035：(httpserver) 添加属性以限制 HTTP 服务器的请求标头的数量

远程主机受到 GLSA-201401-30 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

据报告，在 Oracle Java 实现中存在多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

未经认证的远程攻击者可利用这些漏洞执行任意代码。
 此外，本地或远程攻击者可利用这些漏洞造成不明影响，可能包括远程执行任意代码。
 变通方案：

目前无任何已知的变通方案。

远程主机受到 GLSA-201406-32 中所述漏洞的影响（IcedTea JDK：多种漏洞）

已在 IcedTea JDK 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可能以进程的权限执行任意代码，造成拒绝服务情况，获得敏感信息，绕过预期的安全策略，或造成其他不明影响。
 变通方案：

目前无任何已知的变通方案。

ID	名稱	產品	系列	已發布	已更新	嚴重性
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical
69650	Amazon Linux AMI：java-1.6.0-openjdk (ALAS-2012-43)	Nessus	Amazon Linux Local Security Checks	2013/9/4	2019/10/16	critical
68459	Oracle Linux 6：java-1.6.0-openjdk (ELSA-2012-0135)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2022/3/8	critical
75871	openSUSE 安全更新：java-1_6_0-openjdk (openSUSE-SU-2012:0309-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
57956	RHEL 6：java-1.6.0-openjdk (RHSA-2012:0135)	Nessus	Red Hat Local Security Checks	2012/2/15	2024/4/27	high
58141	SuSE 11.1 安全更新：Java 1.6.0（SAT 修补程序编号 5845）	Nessus	SuSE Local Security Checks	2012/2/28	2021/1/19	critical
72139	GLSA-201401-30：Oracle JRE/JDK：多种漏洞	Nessus	Gentoo Local Security Checks	2014/1/27	2022/12/5	critical
76303	GLSA-201406-32：IcedTea JDK：多种漏洞 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

high

critical

critical

critical