已发现 OpenJDK（Oracle Java 平台的实现）中存在多个漏洞，导致任意代码执行、Java 沙盒中断、信息泄露或拒绝服务。

更新后的 java-1.7.0-openjdk 程序包修复了安全漏洞：

已发现 OpenJDK 中的热点组件未正确验证来自类文件的字节码。不受信任的 Java 应用程序或小程序可能利用这些缺陷绕过 Java 沙盒限制（CVE-2014-4216、CVE-2014-4219）。

在 OpenJDK 中的热点组件事件记录器中发现一个格式字符串缺陷。不受信任的 Java 应用程序或小程序可以利用此缺陷，以 Java 虚拟机的权限导致 Java 虚拟机崩溃或可能执行任意代码 (CVE-2014-2490)。

在 OpenJDK 的 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制（CVE-2014-4223、CVE-2014-4262、CVE-2014-2483）。

在 OpenJDK 的 JMX、库、安全和可服务性组件中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制（CVE-2014-4209、CVE-2014-4218、CVE-2014-4221、CVE-2014-4252、CVE-2014-4266）。

已发现 OpenJDK 的 Security 组件中的 RSA 算法在执行使用私钥的操作时未充分实现伪装。能够测量这些操作的时间性差异的攻击者可能泄漏有关所用密钥的信息 (CVE-2014-4244)。

OpenJDK 的 Security 组件中的 Diffie-Hellman (DH) 密钥交换算法实现无法正确验证公用 DH 参数。这可导致 OpenJDK 接受和使用弱参数，从而允许攻击者恢复协商的密钥 (CVE-2014-4263)。

此更新基于 IcedTea 版本 2.5.1，修复了这些问题以及多个其他问题。

此关键修补程序更新包含 20 个针对 Oracle Java SE 的新安全补丁。所有这些漏洞可在未认证的情况下被远程利用，即，无需用户名和密码便可通过网络利用。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2014:1042 公告中提及的多个漏洞的影响。

    IBM Java SE 版本 7 发行版本 1 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

    此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。详细的漏洞描述信息链接自 IBM“安全警报”页面，此页面列于“参考”部分。（CVE-2014-4208、CVE-2014-4209、CVE-2014-4218、CVE-2014-4219、CVE-2014-4220、CVE-2014-4221、CVE-2014-4227、CVE-2014-4244、CVE-2014-4252、CVE-2014-4262、CVE-2014-4263、CVE-2014-4265、CVE-2014-4266）

    CVE-2014-4262 问题由 Red Hat 产品安全的 Florian Weimer 发现。

    建议所有 java-1.7.1-ibm 用户升级这些更新程序包，其中包含 IBM Java SE 7R1 SR1-FP1 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

已发现 OpenJDK 中的热点组件未正确验证来自类文件的字节码。不受信任的 Java 应用程序或小程序可能利用这些缺陷绕过 Java 沙盒限制。（CVE-2014-4216、CVE-2014-4219）

在 OpenJDK 中的热点组件事件记录器中发现一个格式字符串缺陷。不受信任的 Java 应用程序或小程序可以利用此缺陷，以 Java 虚拟机的权限导致 Java 虚拟机崩溃或可能执行任意代码。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 组件中发现一个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2014-4262)

在 OpenJDK 的 JMX、库、安全和可服务性组件中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-4209、CVE-2014-4218、CVE-2014-4252、CVE-2014-4266）

已发现 OpenJDK 的 Security 组件中的 RSA 算法在执行使用私钥的操作时未充分实现伪装。能够测量这些操作的时间性差异的攻击者可能泄漏有关所用密钥的信息。(CVE-2014-4244)

OpenJDK 的 Security 组件中的 Diffie-Hellman (DH) 密钥交换算法实现无法正确验证公用 DH 参数。这可导致 OpenJDK 接受和使用弱参数，从而允许攻击者恢复协商的密钥。(CVE-2014-4263)

远程 Windows 主机上安装的 VMware vCenter Update Manager 为未安装 Update 3 的版本 5.1。因此，它受到与低于 1.6.0_81 的 Oracle JRE 捆绑版本相关的多种漏洞的影响。

Oracle's July 2014 security update for Java fixes the following vulnerabilities:

  - The Hotspot component in OpenJDK did not properly verify bytecode from the class files, which could allow a Java application or applet to bypass Java sandbox restrictions (CVE-2014-4216, CVE-2014-4219)

  - A format string flaw was discovered in the Hotspot component event logger in OpenJDK, which could be leveraged by an untrusted Java application or applet to crash the Java Virtual Machine or execute arbitrary code with the privileges of the Java Virtual Machine (CVE-2014-2490)

  - Multiple improper permission check issues were discovered in the Libraries component in OpenJDK, which could be leveraged to bypass Java sandbox restrictions (CVE-2014-4223, CVE-2014-4262, CVE-2014-2483)

  - Multiple flaws were discovered in the JMX, Libraries, Security, and Serviceability components in OpenJDK that could be leveraged to bypass certain Java sandbox restrictions (CVE-2014-4209, CVE-2014-4218, CVE-2014-4221, CVE-2014-4252, CVE-2014-4266)

  - The RSA algorithm in the Security component in OpenJDK did not sufficiently perform blinding while performing operations that were using private keys, which could allow an attacker with the ability to measure timing differences of those operations to obtain information about the used keys (CVE-2014-4244)

  - Diffie-Hellman (DH) key exchange algorithm implementation in the Security component in OpenJDK failed to validate public DH parameters properly, which could result in an attacker recovering the negotiated key (CVE-2014-4263)

ID	名稱	產品	系列	已發布	已更新	嚴重性
76689	Debian DSA-2980-1：openjdk-6 - 安全更新	Nessus	Debian Local Security Checks	2014/7/23	2021/1/11	high
76887	Mandriva Linux 安全公告：java-1.7.0-openjdk (MDVSA-2014:141)	Nessus	Mandriva Local Security Checks	2014/7/30	2021/1/6	high
76998	SuSE 11.3 安全更新：openjdk（SAT 修补程序编号 9543）	Nessus	SuSE Local Security Checks	2014/8/5	2021/1/19	critical
77143	RHEL 7 : java-1.7.1-ibm (RHSA-2014:1042)	Nessus	Red Hat Local Security Checks	2014/8/12	2025/4/15	critical
78330	Amazon Linux AMI：java-1.6.0-openjdk (ALAS-2014-387)	Nessus	Amazon Linux Local Security Checks	2014/10/12	2018/4/18	high
79864	VMware vCenter Update Manager 多种 Java 漏洞 (VMSA-2014-0012)	Nessus	Windows	2014/12/12	2018/11/15	critical
8332	Oracle Java Update (July 2014) Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2014/7/23	2019/3/6	high

偵測

搜尋 Plugin

high

high

critical

critical

high

critical

high