遠端 Windows 主機上安裝的 VMware vCenter Update Manager 版本是 Update 3 之前的 5.1。因此受到與隨附之 1.6.0_81 之前版本的 Oracle JRE 相關的多個弱點影響。

此重要修補程式更新包含 Oracle Java SE 的 20 個新安全性修正。所有這些弱點可在無驗證情況下從遠端惡意利用，也就是指不需提供使用者名稱及密碼，就可透過網路惡意利用。

據發現，OpenJDK 的熱點元件並未正確驗證來自類別檔案的位元組程式碼。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2014-4216、CVE-2014-4219)

在 OpenJDK 的熱點元件事件記錄器中發現一個格式字串瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器，或可能利用 Java 虛擬機器的權限執行任意程式碼。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-4223、CVE-2014-4262、CVE-2014-2483)

在 OpenJDK 的 JMX、Libraries、Security 和 Serviceability 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-4209、CVE-2014-4218、CVE-2014-4221、CVE-2014-4252、CVE-2014-4266)

據發現，執行使用私密金鑰的作業時，OpenJDK 的 Security 元件中的 RSA 演算法並未徹底執行偽裝。能夠度量那些作業時間差的攻擊者可能會洩漏使用的金鑰相關資訊。(CVE-2014-4244)

OpenJDK 的 Security 元件中的 Diffie-Hellman (DH) 金鑰交換演算法實作無法正確驗證公開 DH 參數。這可能導致 OpenJDK 接受和使用弱式參數，進而允許攻擊者復原交涉金鑰。(CVE-2014-4263)

注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

更新版 java-1.7.0-openjdk 套件可修正安全性弱點：

據發現，OpenJDK 的熱點元件並未正確驗證來自類別檔案的位元組程式碼。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制 (CVE-2014-4216、CVE-2014-4219)。

在 OpenJDK 的熱點元件事件記錄器中發現一個格式字串瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器，或可能利用 Java 虛擬機器的權限執行任意程式碼 (CVE-2014-2490)。

在 OpenJDK 的 Libraries 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2014-4223、CVE-2014-4262、CVE-2014-2483)。

在 OpenJDK 的 JMX、Libraries、Security 和 Serviceability 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過特定 Java Sandbox 限制 (CVE-2014-4209、CVE-2014-4218、CVE-2014-4221、CVE-2014-4252、CVE-2014-4266)。

據發現，執行使用私密金鑰的作業時，OpenJDK 的 Security 元件中的 RSA 演算法並未徹底執行偽裝。能夠度量那些作業時間差的攻擊者可能會洩漏使用的金鑰相關資訊 (CVE-2014-4244)。

OpenJDK 的 Security 元件中的 Diffie-Hellman (DH) 金鑰交換演算法實作無法正確驗證公開 DH 參數。這可能導致 OpenJDK 接受和使用弱式參數，進而允許攻擊者復原交涉金鑰 (CVE-2014-4263)。

此更新以 IcedTea 2.5.1 版為基礎，可以修正這些問題，以及其他數個問題。

此 openjdk 更新可修正下列安全性和非安全性問題：

- 升級至 2.4.8 (bnc#887530)

- 已從 gzipped tarball 變更回 xz

- 已變更 keyring 檔案，新增簽署 icedtea 套件的 Andrew John Hughes

- 將 ZERO 變更為 AARCH64 tarball

- 已移除修補程式：

- gstackbounds.patch

- java-1.7.0-openjdk-ppc-zero-jdk.patch

- java-1.7.0-openjdk-ppc-zero-hotspot.patch

- - 已整合到上游 icedtea

- java-1.7.0-openjdk-makefiles-zero.patch

- 不適用於 AARCH64 tarball，因為已從 DEFAULT 和 ZERO tarball 變更為 DEFAULT 和 AARCH64

- 自 2.4.4 版起進行上游變更：

- 安全性修正：

- S8029755、CVE-2014-4209：增強主旨類別

- S8030763：驗證全域記憶體配置

- S8031340、CVE-2014-4264：改善 TLS/EC 管理

- S8031346、CVE-2014-4244：增強 RSA 金鑰處理

- S8031540：引入文件地平線

- S8032536：JVM 可解決某些異常案例中所用的錯誤方法

- S8033055：2d 的問題

- S8033301、CVE-2014-4266：構建資訊更充足的 InfoBuilder

- S8034267：隨機原生當機

- S8034272：不將資料填塞至 CRAM 陣列

- S8034985、CVE-2014-2483：改善 Lambda Forms 表單

- S8035004、CVE-2014-4252：供應商提供較少服務

- S8035009、CVE-2014-4218：使 Proxy 表示法一致

- S8035119、CVE-2014-4219：修正位元組程式碼驗證的例外狀況

- S8035699、CVE-2014-4268：檔案選擇器應設計得更容易選擇

- S8035788。CVE-2014-4221：提供更一致的查閱

- S8035793、CVE-2014-4223：引數數目上限已達最大值

- S8036571：(處理程序) 仔細處理處理程序引數

- S8036800：用於更正部分程式碼的屬性 OOM

- S8037046：驗證要載入的程式庫

- S8037076、CVE-2014-2490：檢查常數集區的常數

- S8037157：驗證 <init> 呼叫

- S8037162、CVE-2014-4263：更穩固的 DH 交換

- S8037167、CVE-2014-4216：改善簽章解析方法

- S8039520、CVE-2014-4262：更多不可部分完成的原子更新

- S8023046：增強 splashscreen 支援

- S8025005：增強 CORBA 初始化

- S8025010、CVE-2014-2412：增強 AWT 內容

- S8025030、CVE-2014-2414：增強資料流處理

- S8025152、CVE-2014-0458：增強啟用設定

- S8026067：增強已簽署 jar 驗證

- S8026163、CVE-2014-2427：增強媒體佈建

- S8026188、CVE-2014-2423：增強信封工廠

- S8026200：增強 RowSet Factory

- S8026716、CVE-2014-2402：(aio) 增強非同步通道處理

- S8026736、CVE-2014-2398：增強 Javadoc 頁面

- S8026797、CVE-2014-0451：增強資料傳輸

- S8026801、CVE-2014-0452：增強端點定址

- S8027766、CVE-2014-0453：增強 RSA 處理

- S8027775：增強 ICU 程式碼。

- S8027841、CVE-2014-0429：增強像素操作

- S8028385：增強 RowSet Factory

- S8029282、CVE-2014-2403：增強 CharInfo 設定

- S8029286：增強主體委派

- S8029699：更新 Poller 示範

- S8029730：改善音訊裝置新增

- S8029735：增強服務管理原生

- S8029740、CVE-2014-0446：增強記錄器處理

- S8029745、CVE-2014-0454：增強演算法檢查

- S8029750：增強 LCMS 色彩處理 (內部樹狀 LCMS)

- S8029760、CVE-2013-6629：增強 AWT 圖像庫 (內部樹狀 libjpeg)

- S8029844、CVE-2014-0455：增強引數驗證

- S8029854、CVE-2014-2421：增強 JPEG 解碼

- S8029858、CVE-2014-0456：增強陣列複本

- S8030731、CVE-2014-0460：改善名稱服務加強性

- S8031330：重構 ObjectFactory

- S8031335、CVE-2014-0459：改善色彩分析 (內部樹狀 LCMS)

- S8031352、CVE-2013-6954：增強 PNG 處理 (內部樹狀 libpng)

- S8031394、CVE-2014-0457：(sl) 修正 ServiceLoader 內的例外狀況處理

- S8031395：增強 LDAP 處理

- S8032686、CVE-2014-2413：方法叫用問題

- S8033618、CVE-2014-1876：更正記錄輸出

- S8034926、CVE-2014-2397：正確歸屬類別

- S8036794、CVE-2014-0461：管理 JavaScript 執行個體

- 反向移植

- S5049299：(處理程序) 在 S10 上使用 posix_spawn，而不使用 fork，可避免交換耗盡

- S6571600：使用 JNI 會導致 UnsatisfiedLinkError 尋找 libmawt.so

- S7131153：呼叫 GetDC 太多次，導致效能不佳。

- S7190349：使用旋轉的 g2d 不正確 繪製文字 (標籤)

- S8001108：嘗試使用「<init>」做為方法名稱時，應引出 NoSuchMethodException

- S8001109：呼叫散佈機方法控制的引數數目不相符，應會引出 IllegalArgumentException

- S8008118：(處理程序) jdk/src/solaris/native/java/lang/UNIXProcess_md.c 中可能有 NULL 指標解除參照

- S8013611：強制回應對話方塊無法取得鍵盤焦點

- S8013809：在 SSLSocketImpl 中的寫入和關閉之間會出現鎖死

- S8013836：getFirstDayOfWeek 報告了錯誤的 pt-BR 地區日期

- S8014460：使用 EXT_LIBS_PATH 前必須先檢查其是否為非空白

- S8019853：中斷記錄和 AWT 循環相依性

- S8019990：IM 候選視窗出現在顯示器的右下角。

- S8020191：System.getProperty('os.name') 會在 Windows 8.1 上傳回「Windows NT 未知)」

- S8022452：熱點必須知道關於 Windows 8.1 和 Windows Server 2012 R2 的資訊

- S8023990：迴歸：postscript 尺寸從 6u18 開始增加

- S8024283：10 個 nashorn 測試失敗，其都有類似的堆疊追蹤 InternalError，原因是 NoClassDefFoundError

- S8024616：JSR292：消極式初始化用於啟動程序的核心 NamedFunctions

- S8024648：7141246 和 8016131 中斷 Zero 連接埠 (只有 AArch64)

- S8024830：org.apache.lucene.codecs.compres sing.CompressingTermVect orsReader.get 中有 SEGV

- S8025588：[macosx] 7u40 中的 AppKit 執行緒凍結

- S8026404：登入 Applet 會觸發 ACE: 存取遭拒 ('java.lang.RuntimePermission' 'modifyThreadGroup')

- S8026705：[TEST_BUG] java/beans/Introspector/TestTypeResolver.java 失敗

- S8027196：增加適用於 7u55 的微調版本 HSx，並初始化版本編號

- S8027212：
 java/nio/channels/Selector/SelectAfterRead.java 會間歇性失敗

- S8028285：RMI 執行緒無法再呼叫到 AWT

- S8029177：[Parfait] 來自 b117 給 jdk.src.share.native.com.sun.java.util.jar 的警告：JNI 例外狀況擱置

- S8030655：迴歸：14_01 安全性修正 8024306 導致測試失敗

- S8030813：CRL 儲存在 LDAP 目錄時，已簽署的 applet 無法載入

- S8030822：(tz) 支援 tzdata2013i

- S8031050：(執行緒) 變更執行緒初始化，以在叫用 SecurityManager 之前設定執行緒名稱

- S8031075：[迴歸] 在具有一個焦點元件的對話方塊中使用 shift+tab，焦點會消失

- S8031462：具有 morx 表格的字型因為最新的 ICU 修正而遭到損毀

- S8032585：JSR292：嘗試從其他套件叫用受保護的方法時出現 IllegalAccessError

- S8032740：必須在版本 7 中建立 SE 內嵌來源套件組合

- S8033278：8032585 之後的 Lookup.unreflect* 遺漏存取檢查

- S8034772：JDK-8028795 將規格變更帶到 7u55 版本，並導致 JCK7 簽章測試失敗

- S8035283：分支縮短的第二階段未考量迴圈對齊

- S8035613：使用 Securitymanager 時，JAXBContext.newInstance 會失敗

- S8035618：四個 api/org_omg/CORBA TCK 測試只在外掛程式環境下會失敗

- S8036147：針對 7u55-b11 將 hsx 24.55 版本遞增至 b02

- S8036786：更新 jdk7 測試程式庫以符合 jdk8

- S8036837：針對 7u55-b12 將 hsx 24.55 版本遞增至 b03

- S8037012：(tz) 支援 tzdata2014a

- S8038306：(tz) 支援 tzdata2014b

- S8038392：產生連結前快取會中斷 JAVA「jinfo」公用程式的正常動作

- S8042264：7u65 l10n 資源檔案轉譯更新 1

- S8042582：Windows x64 上的 java/awt/KeyboardFocusmanager/ChangeKFMTest/ChangeKFMTest.html 測試失敗

- S8042590：執行表單 URL 會擲回 NPE

- S8042789：org.omg.CORBA.ORBSingletonClass 載入不會再使用內容類別載入器

- S8043012：(tz) 支援 tzdata2014c

- S8004145：改善的最新 hgforest.sh、ctrl-c 現可正確終止 mercurial 處理程序。

- S8007625：在 /common/bin/hgforest.sh 中與巢狀 repo 爭用

- S8011178：改善 common/bin/hgforest.sh python 偵測 (MacOS)

- S8011342：hgforest.sh：在更舊版 python 上不支援 ‘python --version’

- S8011350：hgforest.sh 使用因部分 Shell 可能會失敗的非 POSIX sh 功能

- S8024200：處理 #! 後有空格的 hg 包裝函式

- S8025796：hgforest.sh 無需複雜策劃，便可觸發來自 hg 的未緩衝輸出

- S8028388：9 個 jaxws 測試因 java.lang.ClassCastException 而在夜間版本中失敗

- S8031477：[macosx] AWT 原生程式庫載入失敗

- S8032370：JPEGImageReader 上沒有來自 IIOReadWarningListener 的　‘Truncated file’　警告

- S8035834：修正 JDK-8030731 之後，InetAddress.getLocalHost() 可能會懸置

- S8009062：修正 7017193 之後，JNI AttachCurrentThread 的效能便開始下降

- S8035893：JVM_GetVersionInfo 無法執行零架構

- 在熱點版本最後重新啟用「gamma」測試，但僅適用於以熱點為基礎的啟動程序 JDK。

- S8015976：OpenJDK 屬於錯誤 JDK-8015812 的一部分 [TEST_BUG] 測試和測試描述相衝突

- S8022698：自 7u45 b04 起，使用 -agentvm 選項的 javax/script/GetInterfaceTest.java 作業都失敗

- S8022868：在 java 運行時間遺漏程式碼頁面 Cp290

- S8023310：Beans.IsDesignTime() 方法中有執行緒爭用

- S8024461：[Macosx] mac10.9 上的 swing 和 2d 函式手動測試出現 Java 損毀

- S8025679：增加適用於 7u51 的微調版本 HSx，並初始化版本編號

- S8026037：[測試錯誤] Solaris 的 sun/security/tools/jarsigner/warnings.sh 測試失敗

- S8026304：jarsigner 輸出損毀文法

- S8026772：
test/sun/util/resources/TimeZone/Bug6317929.java 失敗

- S8026887：讓因大量頁面配置失敗而引起的問題更容易除錯

- S8027204：修訂 8026204 和 8025758 的更新

- S8027224：測試迴歸 - ClassNotFoundException

- S8027370：支援 tzdata2013h

- S8027378：兩個因 jdk7u51b04 而造成的 closed/javax/xml/8005432 失敗

- S8027787：7u51 l10n 資源檔案轉譯更新 1

- S8027837：JDK-8021257 導致內嵌平台上的 CORBA 構建失敗

- S8027943：7u45 中的 com.sun.corba.se.spi.orbu til.proxy.CompositeInvocationHandlerImpl 序列版本已變更

- S8027944：針對 7u51-b07 將 hsx 24.51 版本遞增至 b02

- S8028057：將 jarsigner 手冊頁文件修改為文件 CCC 8024302：闡明 jar 驗證

- S8028090：還原使用不正確之認可訊息推送的 change - changeset (該訊息會連結至錯誤的問題)

- S8028111：XML 讀取器共用相同實體擴充計數器

- S8028215：如果內容選取 JDK 預設 ORB，ORB.init 將因 SecurityException 而失敗

- S8028293：檢查實體暫時連接埠範圍的本機組態

- S8028382：兩個 javax/xml/8005433 測試在修正 JDK-8028147 之後還是會失敗

- S8028453：由於繫結至本機位址，因此 AsynchronousSocketChannel.connect() 需要 SocketPermission (win)

- S8028823：java/net/Makefile 索引標籤會轉換為空格

- S8029038：修訂共用相同實體擴充計數器之 XML 讀取器的修正

- S8029842：針對 7u51-b11 將 hsx 24.51 版本遞增至 b03

- 錯誤修正

- 修正 armel 的 PR1188 意外回復

- PR1781：NSS PKCS11 提供者無法處理 multipart AES 加密

- PR1830：放置 LCMS 2 的版本需求

- PR1833、RH1022017：報告 NSS (而非 SunEC 程式庫) 支援的橢圓曲線

- RH905128：[損毀] 使用 NSS 安全性供應商和 kerberos 時，OpenJDK-1.7.0 遇到問題

- PR1393：版本中的 JPEG 支援在 non-system-libjpeg 版本上損毀

- PR1726：組態未能尋找 ecj.jar，甚至沒有嘗試找出 javac

- Red Hat 本機：路徑以 / 開頭之 repo　的修正。

- 移除未使用的 hgforest 指令碼

- PR1101：GNU/Linux SPARC 上未定義的符號

- PR1659：設定粗體樣式時，OpenJDK 7 傳回不正確的 TrueType 字型度量

- PR1677、G498288：更新 PaX 支援以偵測執行中的 PaX 核心並使用新工具

- PR1679：允許在支援 PaX 的核心上構建 OpenJDK

- PR1684：構建因空白 PAX_COMMAND 而失敗

- RH1015432：java-1.7.0-openjdk：StackOverflowError 造成 PPC 失敗 (已修訂的修正)

- 若 SYSTEM_CUPS 不是設為 true，則連結 $(LIBDL)

- 啟用 --with-gcj (原生 ecj 版本) 時，使用 ecj.jar 執行設定檢查。

- 更新 ecj-multicatch.patch 以修正損毀的啟動程序版本

- PR1653：透過 Zero 支援 ppc64le

- PR1654：ppc32 需要更大的 ThreadStackSize 才能構建

- RH1015432：java-1.7.0-openjdk：StackOverflowError 造成 PPC 失敗

- RH910107：無法載入 PC/SC 程式庫

- ARM32 連接埠

- 從 IcedTea 6 新增 arm_port

- 從 IcedTea 6 新增 patches/arm.patch

- 從 IcedTea 6 新增 patches/arm-debug.patch

- 從 IcedTea 6 新增 patches/arm-hsdis.patch

- 已新增 dynamic_generate 和 compiled_method_load 事件的 jvmti 事件產生至 ARM JIT 編譯器

- 調整執行安全點作業時的已儲存 SP。

- invokedynamic 的第一次剪下

- 修正從 asm JIT 遞迴重新輸入後丟入垃圾桶的執行緒 ptr。

- ldc methodHandle 的 JIT 編譯

- 重新命名眾多誤導命名的函式

- 變更 HSX22

- 重新命名眾多誤導命名的函式

- 已修補處理介面卡程式碼的方法，解決 TCK 中的失敗

- 階段 1

- 階段 2

- RTC Thumb2 JIT 增強功能。

- Zero 無法在 hsx22+ 中構建，修正執行 gamma OK、 hsx23 後仍為無反應的 hsx22。

- 使用 ldrexd 執行 ARMv7 上不可部分完成的讀取。

- 使用適用於 thumb 程式碼的整合語法。

- 已更正從 fast_method_handle_entry 到 CppInterpreter::method_handle_entry 的呼叫，以便執行緒載入至 r2

- 傳回時不儲存地區。

- 修正 handle_special_method() 呼叫。修正 compareAndSwapLong。

- 修正錯誤編譯 org.eclipse.ui.internal.contexts.ContextAuthority.source 的 JIT 錯誤，已變更

- JIT 的 invokedynamic 和 aldc

- 修改安全點檢查，改為依賴記憶體保護訊號，而非輪詢

- 微幅調整檢閱清理。

- PR1188：ASM 解譯器和 Thumb2 JIT javac 錯誤編譯 armel 上的餘數提醒

- PR1363：Fedora 19 / rawhide FTBFS SIGILL

- 變更 HSX23

- 從已移除的方法中移除片段

- 從 CC_COMPILE 移除 C++ 旗標，並修正 zeroshark.make 中的使用方式。

- 使用 $(CC) 編譯 mkbc，而不使用 $(CC_COMPILE)，避免只有 C++ 的旗標

- 新增有關目前 $(CFLAGS)/$(CXXFLAGS)/$(CPPFLAGS) 使用情況的備註。

- 覆寫 bytecodes_arm.def 來源語言的自動偵測

- 在組合器階段中包含 $(CFLAGS)

- PR1626：hsx24 的 ARM32 組合器更新。使用 ARM32JIT 開啟/關閉。

- 使用正確的符號名稱取代 METHOD_SIZEOFPARAMETERS 和 ISTATE_NEXT_FRAME 的文字位移。

- 預設開啟 ARM32 JIT

- AArch64 連接埠

- smull 的 AArch64 C2 指示

- 新增建構函式做為來自 Register - RegSet 的轉換。使用此項目。

- 新增 RegSet::operator+=。

- 新增數個簡單的內建支援

- 新增內建 crc32 指示支援

- 新增 CRC32 內建支援

- 新增 CRC32 的 Neon 實作支援

- 所有位址常數大小都是 48 位元。

- C1：修正分析時出現的位移溢位。

- 常見的 C1/C2 框架處理，可正確處理所有框架大小

- 更正移位的作業成本。

- 更正初構和終解的 OptoAssembly。

- 刪除無作用的指示。

- 呼叫 stub 時不使用任何形式的 _call_VM_leaf。

- 加快字串比較

- 加快 String.equals()

- 修正眾多假的註解。

- 修正偏差鎖定並預設為啟用

- 將指示大小從 8 修正為 4

- 修正用於移位的 opto 組件。

- 修正 verify_method_data_pointer 中的暫存器誤用

- 修正 generate_verify_oop() 中的暫存器使用方式。

- 實作各種鎖定的記憶體作業。

- 提升 ic_cache 檢查中的 C1 效能改善

- 根據 Edward Nevill 的建議，改善 pop() 的程式碼產生程序。

- 改善安全點輪詢

- 使 C2 的程式碼項目對齊 64

- 微調除以 2 最佳化

- 全新的指示選項成本模型。

- 應簽署 lookupswitch 指示中的位移。

- 最佳化介面卡表格位元組對應基礎的定址

- 最佳化 C2 進入點驗證

- 最佳化長式除以 2

- 改善效能並輕鬆使用從上游提取的變更

- 呼叫 java 程式碼時保留被呼叫者儲存的 FP 暫存器

- 移除過時的 C1 修補程式碼。

- 移除特殊情況下的除數引數處理。
 AArch64 不需要該處理。

- 移除 CAS 作業不必要的記憶體障礙物

- 在 crc32 程式碼中從寄件者 sp、r13 還原 sp

- 將預設的 ReservedCodeCacheSize 限制為 128M

- 將 CAS 作業重寫為趨於傳統方式

- 移除 C1 修補程式碼之前，先儲存中繼狀態。

- 清理推送/快顯指示中的暫存器使用率。

- 清理堆疊框架處理。

- 在 C2 產生的程式碼中，使用 movoop 和 mov_metadata 的 2- 和 3- 指示直接形式。

- 針對 psh 和 pop 作業使用一組明確的暫存器，而非使用點陣圖。

- 在 C1 中使用明確的障礙指示。

- 使用 gcc __clear_cache 而非親自操作

- PR1713：支援 AArch64 連接埠

- Shark

- 新增來自 8003868 的 Shark 定義

- 從 sharkCompiler.cpp 放置 7083786 中移除的 compile_method 引數

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2014:1042 公告中提及的多個弱點影響。

  - IBM JDK：Java CMS keystore 提供者可能允許復原遭暴力破解的私密金鑰 (CVE-2014-3068)

  - IBM JDK：權限提升問題 (CVE-2014-3086)

  - Oracle JDK：已修正 7u65 和 8u11 中的不明弱點 (部署) (CVE-2014-4208、CVE-2014-4220)

  - OpenJDK：SubjectDelegator 保護不足 (JMX，8029755) (CVE-2014-4209)

  - OpenJDK：複製介面傳遞至 proxy 方法 (Libraries，8035009) (CVE-2014-4218)

  - OpenJDK：位元組程式碼驗證無法防止 ctor 呼叫 this() 和 super() (Hotspot，8035119) (CVE-2014-4219)

  - OpenJDK：MethodHandles.Lookup 修飾詞檢查不足 (Libraries，8035788) (CVE-2014-4221)

  - Oracle JDK：已修正 6u81、7u65 和 8u11 中的不明弱點 (部署) (CVE-2014-4227、CVE-2014-4265)

  - OpenJDK：RSA 偽裝問題 (Security，8031346) (CVE-2014-4244)

  - OpenJDK：防止採用非公開建構函式的服務具現化 (Security，8035004) (CVE-2014-4252)

  - OpenJDK：AtomicReferenceFieldUpdater 缺少原始類型檢查 (Libraries，8039520) (CVE-2014-4262)

  - OpenJDK：Diffie-Hellman 公開金鑰驗證不足 (Security，8037162) (CVE-2014-4263)

  - OpenJDK：InfoBuilder 不正確的傳回值 (Serviceability，8033301) (CVE-2014-4266)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Oracle's July 2014 security update for Java fixes the following vulnerabilities:

  - The Hotspot component in OpenJDK did not properly verify bytecode from the class files, which could allow a Java application or applet to bypass Java sandbox restrictions (CVE-2014-4216, CVE-2014-4219)

  - A format string flaw was discovered in the Hotspot component event logger in OpenJDK, which could be leveraged by an untrusted Java application or applet to crash the Java Virtual Machine or execute arbitrary code with the privileges of the Java Virtual Machine (CVE-2014-2490)

  - Multiple improper permission check issues were discovered in the Libraries component in OpenJDK, which could be leveraged to bypass Java sandbox restrictions (CVE-2014-4223, CVE-2014-4262, CVE-2014-2483)

  - Multiple flaws were discovered in the JMX, Libraries, Security, and Serviceability components in OpenJDK that could be leveraged to bypass certain Java sandbox restrictions (CVE-2014-4209, CVE-2014-4218, CVE-2014-4221, CVE-2014-4252, CVE-2014-4266)

  - The RSA algorithm in the Security component in OpenJDK did not sufficiently perform blinding while performing operations that were using private keys, which could allow an attacker with the ability to measure timing differences of those operations to obtain information about the used keys (CVE-2014-4244)

  - Diffie-Hellman (DH) key exchange algorithm implementation in the Security component in OpenJDK failed to validate public DH parameters properly, which could result in an attacker recovering the negotiated key (CVE-2014-4263)

ID	名稱	產品	系列	已發布	已更新	嚴重性
79864	VMware vCenter Update Manager 多個 Java 弱點 (VMSA-2014-0012)	Nessus	Windows	2014/12/12	2018/11/15	critical
76998	SuSE 11.3 安全性更新：openjdk (SAT 修補程式編號 9543)	Nessus	SuSE Local Security Checks	2014/8/5	2021/1/19	critical
76552	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 java-1.7.0-openjdk	Nessus	Scientific Linux Local Security Checks	2014/7/17	2021/1/14	high
76887	Mandriva Linux 安全性公告：java-1.7.0-openjdk (MDVSA-2014:141)	Nessus	Mandriva Local Security Checks	2014/7/30	2021/1/6	high
80045	openSUSE 安全性更新：java-1_7_0-openjdk (openSUSE-SU-2014:1645-1)	Nessus	SuSE Local Security Checks	2014/12/16	2021/1/19	critical
77143	RHEL 7：java-1.7.1-ibm (RHSA-2014:1042)	Nessus	Red Hat Local Security Checks	2014/8/12	2024/4/24	high
8332	Oracle Java Update (July 2014) Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2014/7/23	2019/3/6	high

偵測

搜尋 Plugin

critical

critical

high

high

critical

high

high