更新后的 java-1.7.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。

已发现 OpenJDK 中的热点组件未正确验证来自类文件的字节码。不受信任的 Java 应用程序或小程序可能利用这些缺陷绕过 Java 沙盒限制。（CVE-2014-4216、CVE-2014-4219）

在 OpenJDK 中的热点组件事件记录器中发现一个格式字符串缺陷。不受信任的 Java 应用程序或小程序可以利用此缺陷，以 Java 虚拟机的权限导致 Java 虚拟机崩溃或可能执行任意代码。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2014-4223、CVE-2014-4262、CVE-2014-2483）

在 OpenJDK 的 JMX、库、安全和可服务性组件中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-4209、CVE-2014-4218、CVE-2014-4221、CVE-2014-4252、CVE-2014-4266）

已发现 OpenJDK 的 Security 组件中的 RSA 算法在执行使用私钥的操作时未充分实现伪装。能够测量这些操作的时间性差异的攻击者可能泄漏有关所用密钥的信息。(CVE-2014-4244)

OpenJDK 的 Security 组件中的 Diffie-Hellman (DH) 密钥交换算法实现无法正确验证公用 DH 参数。这可导致 OpenJDK 接受和使用弱参数，从而允许攻击者恢复协商的密钥。(CVE-2014-4263)

CVE-2014-4262 问题由 Red Hat 产品安全的 Florian Weimer 发现。

注意：安装由 icedtea-web 程序包提供的 Web 浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在无用户交互的情况下被利用。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

更新后的 java-1.7.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。

已发现 OpenJDK 中的热点组件未正确验证来自类文件的字节码。不受信任的 Java 应用程序或小程序可能利用这些缺陷绕过 Java 沙盒限制。（CVE-2014-4216、CVE-2014-4219）

在 OpenJDK 中的热点组件事件记录器中发现一个格式字符串缺陷。不受信任的 Java 应用程序或小程序可以利用此缺陷，以 Java 虚拟机的权限导致 Java 虚拟机崩溃或可能执行任意代码。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2014-4223、CVE-2014-4262、CVE-2014-2483）

在 OpenJDK 的 JMX、库、安全和可服务性组件中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-4209、CVE-2014-4218、CVE-2014-4221、CVE-2014-4252、CVE-2014-4266）

已发现 OpenJDK 的 Security 组件中的 RSA 算法在执行使用私钥的操作时未充分实现伪装。能够测量这些操作的时间性差异的攻击者可能泄漏有关所用密钥的信息。(CVE-2014-4244)

OpenJDK 的 Security 组件中的 Diffie-Hellman (DH) 密钥交换算法实现无法正确验证公用 DH 参数。这可导致 OpenJDK 接受和使用弱参数，从而允许攻击者恢复协商的密钥。(CVE-2014-4263)

CVE-2014-4262 问题由 Red Hat 产品安全的 Florian Weimer 发现。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

来自 Red Hat 安全公告 2014:0889：

更新后的 java-1.7.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.7.0-openjdk 程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Java 软件开发工具包。

已发现 OpenJDK 中的热点组件未正确验证来自类文件的字节码。不受信任的 Java 应用程序或小程序可能利用这些缺陷绕过 Java 沙盒限制。（CVE-2014-4216、CVE-2014-4219）

在 OpenJDK 中的热点组件事件记录器中发现一个格式字符串缺陷。不受信任的 Java 应用程序或小程序可以利用此缺陷，以 Java 虚拟机的权限导致 Java 虚拟机崩溃或可能执行任意代码。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
（CVE-2014-4223、CVE-2014-4262、CVE-2014-2483）

在 OpenJDK 的 JMX、库、安全和可服务性组件中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-4209、CVE-2014-4218、CVE-2014-4221、CVE-2014-4252、CVE-2014-4266）

已发现 OpenJDK 的 Security 组件中的 RSA 算法在执行使用私钥的操作时未充分实现伪装。能够测量这些操作的时间性差异的攻击者可能泄漏有关所用密钥的信息。(CVE-2014-4244)

OpenJDK 的 Security 组件中的 Diffie-Hellman (DH) 密钥交换算法实现无法正确验证公用 DH 参数。这可导致 OpenJDK 接受和使用弱参数，从而允许攻击者恢复协商的密钥。(CVE-2014-4263)

CVE-2014-4262 问题由 Red Hat 产品安全的 Florian Weimer 发现。

注意：安装由 icedtea-web 程序包提供的 Web 浏览器插件后，如果用户访问了恶意网站，则通过 Java 小程序暴露的问题可在无用户交互的情况下被利用。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

来自 Red Hat 安全公告 2014:0907：

更新后的 java-1.6.0-openjdk 程序包修复了多个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.6.0-openjdk 程序包提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Java 软件开发工具包。

已发现 OpenJDK 中的热点组件未正确验证来自类文件的字节码。不受信任的 Java 应用程序或小程序可能利用这些缺陷绕过 Java 沙盒限制。（CVE-2014-4216、CVE-2014-4219）

在 OpenJDK 中的热点组件事件记录器中发现一个格式字符串缺陷。不受信任的 Java 应用程序或小程序可以利用此缺陷，以 Java 虚拟机的权限导致 Java 虚拟机崩溃或可能执行任意代码。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 组件中发现一个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2014-4262)

在 OpenJDK 的 JMX、库、安全和可服务性组件中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-4209、CVE-2014-4218、CVE-2014-4252、CVE-2014-4266）

已发现 OpenJDK 的 Security 组件中的 RSA 算法在执行使用私钥的操作时未充分实现伪装。能够测量这些操作的时间性差异的攻击者可能泄漏有关所用密钥的信息。(CVE-2014-4244)

OpenJDK 的 Security 组件中的 Diffie-Hellman (DH) 密钥交换算法实现无法正确验证公用 DH 参数。这可导致 OpenJDK 接受和使用弱参数，从而允许攻击者恢复协商的密钥。(CVE-2014-4263)

CVE-2014-4262 问题由 Red Hat 产品安全的 Florian Weimer 发现。

此更新还修复以下缺陷：

* 在此更新之前，访问未同步哈希映射的应用程序可能会进入无限循环并消耗过多 CPU 资源。此更新用于解决这一问题。
(BZ#1115580)

建议所有 java-1.6.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

已发现 OpenJDK 中的热点组件未正确验证来自类文件的字节码。不受信任的 Java 应用程序或小程序可能利用这些缺陷绕过 Java 沙盒限制。（CVE-2014-4216、CVE-2014-4219）

在 OpenJDK 中的热点组件事件记录器中发现一个格式字符串缺陷。不受信任的 Java 应用程序或小程序可以利用此缺陷，以 Java 虚拟机的权限导致 Java 虚拟机崩溃或可能执行任意代码。
(CVE-2014-2490)

在 OpenJDK 的 Libraries 组件中发现一个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2014-4262)

在 OpenJDK 的 JMX、库、安全和可服务性组件中发现多个缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。（CVE-2014-4209、CVE-2014-4218、CVE-2014-4252、CVE-2014-4266）

已发现 OpenJDK 的 Security 组件中的 RSA 算法在执行使用私钥的操作时未充分实现伪装。能够测量这些操作的时间性差异的攻击者可能泄漏有关所用密钥的信息。(CVE-2014-4244)

OpenJDK 的 Security 组件中的 Diffie-Hellman (DH) 密钥交换算法实现无法正确验证公用 DH 参数。这可导致 OpenJDK 接受和使用弱参数，从而允许攻击者恢复协商的密钥。(CVE-2014-4263)

此更新还修复以下缺陷：

- 在此更新之前，访问未同步哈希映射的应用程序可能会进入无限循环并消耗过多 CPU 资源。此更新用于解决这一问题。

必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2014:0902 公告中提及的多个漏洞的影响。

    Oracle Java SE 版本 7 包括 Oracle Java Runtime Environment 和 Oracle Java 软件开发工具包。

    此更新修复了 Oracle Java Runtime Environment 和 Oracle Java 软件开发工具包中的多个漏洞。有关这些缺陷的更多信息，请参阅“参考”部分的“Oracle Java SE 关键修补程序更新公告”页面。
    （CVE-2014-4219、CVE-2014-2490、CVE-2014-4216、CVE-2014-4223、CVE-2014-4262、CVE-2014-2483、CVE-2014-4209、CVE-2014-4218、CVE-2014-4252、CVE-2014-4266、CVE-2014-4221、CVE-2014-4244、CVE-2014-4263、CVE-2014-4227、CVE-2014-4265、CVE-2014-4220、CVE-2014-4208、CVE-2014-4264）

    CVE-2014-4262 问题由 Red Hat 产品安全的 Florian Weimer 发现。

    注意：发送 Oracle Java SE 程序包的方法已更改。它们现在位于独立的通道/存储库中，需要用户先执行相关操作，然后才能获取更新后的程序包。
    有关订阅新通道/存储库的信息，请参阅：https://access.redhat.com/solutions/732883

    建议所有 java-1.7.0-oracle 用户升级这些更新后的程序包，其中提供了 Oracle Java 7 Update 65 并解决了这些问题。
    必须重新启动所有正在运行的 Oracle Java 实例，才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Oracle's July 2014 security update for Java fixes the following vulnerabilities:

  - The Hotspot component in OpenJDK did not properly verify bytecode from the class files, which could allow a Java application or applet to bypass Java sandbox restrictions (CVE-2014-4216, CVE-2014-4219)

  - A format string flaw was discovered in the Hotspot component event logger in OpenJDK, which could be leveraged by an untrusted Java application or applet to crash the Java Virtual Machine or execute arbitrary code with the privileges of the Java Virtual Machine (CVE-2014-2490)

  - Multiple improper permission check issues were discovered in the Libraries component in OpenJDK, which could be leveraged to bypass Java sandbox restrictions (CVE-2014-4223, CVE-2014-4262, CVE-2014-2483)

  - Multiple flaws were discovered in the JMX, Libraries, Security, and Serviceability components in OpenJDK that could be leveraged to bypass certain Java sandbox restrictions (CVE-2014-4209, CVE-2014-4218, CVE-2014-4221, CVE-2014-4252, CVE-2014-4266)

  - The RSA algorithm in the Security component in OpenJDK did not sufficiently perform blinding while performing operations that were using private keys, which could allow an attacker with the ability to measure timing differences of those operations to obtain information about the used keys (CVE-2014-4244)

  - Diffie-Hellman (DH) key exchange algorithm implementation in the Security component in OpenJDK failed to validate public DH parameters properly, which could result in an attacker recovering the negotiated key (CVE-2014-4263)

ID	名稱	產品	系列	已發布	已更新	嚴重性
76537	CentOS 6 / 7：java-1.7.0-openjdk (CESA-2014:0889)	Nessus	CentOS Local Security Checks	2014/7/17	2021/1/4	high
76538	CentOS 5：java-1.7.0-openjdk (CESA-2014:0890)	Nessus	CentOS Local Security Checks	2014/7/17	2021/1/4	high
76547	Oracle Linux 6 / 7：java-1.7.0-openjdk (ELSA-2014-0889)	Nessus	Oracle Linux Local Security Checks	2014/7/17	2024/10/22	high
76631	Oracle Linux 5 / 6 / 7：java-1.6.0-openjdk (ELSA-2014-0907)	Nessus	Oracle Linux Local Security Checks	2014/7/22	2024/10/22	high
76681	Scientific Linux 安全更新：SL5.x、SL6.x i386/srpm/x86_64 中的 java-1.6.0-openjdk	Nessus	Scientific Linux Local Security Checks	2014/7/22	2021/1/14	high
79036	RHEL 7：java-1.7.0-oracle (RHSA-2014:0902)	Nessus	Red Hat Local Security Checks	2014/11/8	2025/3/20	critical
8332	Oracle Java Update (July 2014) Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2014/7/23	2019/3/6	high

偵測

搜尋 Plugin

high

high

high

high

high

critical

high