远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2012:0135 公告中提及的多个漏洞的影响。

    这些程序包提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Software Development Kit。

    已发现 Java2D 在将图形渲染对象传递到本机渲染程序之前未正确检查这些对象。恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷来导致 Java 虚拟机 (JVM) 崩溃，或者绕过 Java 沙盒限制。(CVE-2012-0497)

    已发现反序列化失败时引发的异常未始终包含对失败原因的正确标识。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2012-0505)

    AtomicReferenceArray 类实现未正确检查数组是否为预期的 Object[] 类型。恶意 Java 应用程序或小程序可利用此缺陷来绕过 Java 沙盒限制。
    (CVE-2011-3571)

    已发现 SecurityManager 未限制对 TimeZone.setDefault() 的使用，从而允许不受信任的 Java 应用程序或小程序设置新的默认时区并因此绕过 Java 沙盒限制。
    (CVE-2012-0503)

    HttpServer 类未限制从 HTTP 请求中读取的标头的数量。远程攻击者可利用此缺陷，通过特别构建的请求导致使用 HttpServer 的应用程序使用过量 CPU 时间。此更新引入使用 sun.net.httpserver.maxReqHeaders 属性进行控制的标头计数限制。默认值为 200。(CVE-2011-5035)

    Java Sound 组件未正确检查缓冲区边界。
    恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷来导致 Java 虚拟机 (JVM) 崩溃，或者泄露其内存的一部分。(CVE-2011-3563)

    在 AWT KeyboardFocusManager 中发现一个缺陷，该缺陷可允许不受信任的 Java 应用程序或小程序获取键盘焦点并可能窃取敏感信息。(CVE-2012-0502)

    已发现 Java 中的 CORBA（公共对象请求代理体系架构）实现未正确保护某些 CORBA 对象上的存储库标识符。攻击者可利用此问题来修改不可变的对象数据。(CVE-2012-0506)

    在用于 ZIP 文件的解包程序中发现一个导致堆栈溢出的差一缺陷。特别构建的 ZIP 存档可在打开时导致 Java 虚拟机 (JVM) 崩溃。(CVE-2012-0501)

    注意：安装由 icedtea-web 程序包提供的网页浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在无用户交互的情况下被利用。

    此勘误表还将 OpenJDK 程序包升级到 IcedTea6 1.10.6。有关更多信息，请参阅“参考”中链接的 NEWS 文件。

    建议所有 java-1.6.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，更新才能生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

来自 Red Hat 安全公告 2012:0135：

更新后的 java-1.6.0-openjdk 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些程序包提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Software Development Kit。

已发现 Java2D 在将图形渲染对象传递到本机渲染程序之前未正确检查这些对象。
恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷来导致 Java 虚拟机 (JVM) 崩溃，或者绕过 Java 沙盒限制。(CVE-2012-0497)

已发现反序列化失败时引发的异常未始终包含对失败原因的正确标识。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2012-0505)

AtomicReferenceArray 类实现未正确检查数组是否为预期的 Object[] 类型。恶意 Java 应用程序或小程序可利用此缺陷来绕过 Java 沙盒限制。(CVE-2011-3571)

已发现 SecurityManager 未限制对 TimeZone.setDefault() 的使用，从而允许不受信任的 Java 应用程序或小程序设置新的默认时区并因此绕过 Java 沙盒限制。(CVE-2012-0503)

HttpServer 类未限制从 HTTP 请求中读取的标头的数量。远程攻击者可利用此缺陷，通过特别构建的请求导致使用 HttpServer 的应用程序使用过量 CPU 时间。此更新引入使用 sun.net.httpserver.maxReqHeaders 属性进行控制的标头计数限制。默认值为 200。(CVE-2011-5035)

Java Sound 组件未正确检查缓冲区边界。
恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷来导致 Java 虚拟机 (JVM) 崩溃，或者泄露其内存的一部分。(CVE-2011-3563)

在 AWT KeyboardFocusManager 中发现一个缺陷，该缺陷可允许不受信任的 Java 应用程序或小程序获取键盘焦点并可能窃取敏感信息。(CVE-2012-0502)

已发现 Java 中的 CORBA（公共对象请求代理体系架构）实现未正确保护某些 CORBA 对象上的存储库标识符。此问题可被利用来修改不可变的对象数据。(CVE-2012-0506)

在用于 ZIP 文件的解包程序中发现一个导致堆栈溢出的差一缺陷。特别构建的 ZIP 存档可在打开时导致 Java 虚拟机 (JVM) 崩溃。(CVE-2012-0501)

注意：安装由 icedtea-web 程序包提供的 Web 浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在不与用户交互的情况下被利用。

此勘误表还将 OpenJDK 程序包升级到 IcedTea6 1.10.6。
有关更多信息，请参阅“参考”中链接的 NEWS 文件。

建议所有 java-1.6.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

远程主机受到 GLSA-201401-30 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

据报告，在 Oracle Java 实现中存在多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

未经认证的远程攻击者可利用这些漏洞执行任意代码。
 此外，本地或远程攻击者可利用这些漏洞造成不明影响，可能包括远程执行任意代码。
 变通方案：

目前无任何已知的变通方案。

远程主机受到 GLSA-201406-32 中所述漏洞的影响（IcedTea JDK：多种漏洞）

已在 IcedTea JDK 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可能以进程的权限执行任意代码，造成拒绝服务情况，获得敏感信息，绕过预期的安全策略，或造成其他不明影响。
 变通方案：

目前无任何已知的变通方案。

Oracle GlassFish Server versions <= 3.1.1 are prone to multiple vulnerabilities, including a denial-of-service vulnerability as well as an unspecified vulnerability related to Web Container that could affect server availability. The denial-of-service issue occurs due to an error during hashing form posts and updating a hash table. Specially crafted forms in HTTP POST requests can trigger hash collisions resulting in high CPU consumption. An attacker can exploit this issue by sending specially crafted forms in HTTP POST requests.

ID	名稱	產品	系列	已發布	已更新	嚴重性
57956	RHEL 6 : java-1.6.0-openjdk (RHSA-2012:0135)	Nessus	Red Hat Local Security Checks	2012/2/15	2025/4/15	critical
68459	Oracle Linux 6：java-1.6.0-openjdk (ELSA-2012-0135)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high
72139	GLSA-201401-30：Oracle JRE/JDK：多种漏洞	Nessus	Gentoo Local Security Checks	2014/1/27	2025/6/10	critical
76303	GLSA-201406-32：IcedTea JDK：多种漏洞 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical
8005	Oracle GlassFish Server <= 3.1.1 Multiple Denial-of-Service Vulnerabilities	Nessus Network Monitor	Web Servers	2013/9/10	2019/3/6	medium

偵測

搜尋 Plugin

critical

high

critical

critical

medium