遠端主機上安裝的 VMware Workspace Portal (之前稱為 VMware Horizon Workspace) 版本為 2.1.1 之前的 2.x 版。
因而會受到一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點影響。此弱點是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。
MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。
(CVE-2014-3566)

此外，下列隨附的 Java 元件中也存在多個不明弱點：

- 2D (CVE-2014-6585、CVE-2014-6591)

- Deployment (CVE-2015-0403、CVE-2015-0406)

- Hotspot (CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0437)

- Installation (CVE-2015-0421)

- JAX-WS (CVE-2015-0412)

- JSSE (CVE-2014-6593)

- Libraries (CVE-2014-6549、CVE-2014-6587、CVE-2015-0400)

- RMI (CVE-2015-0408)

- Security (CVE-2015-0410)

- Serviceability (CVE-2015-0413)

- Swing (CVE-2015-0407)

在 OpenJDK 的 Hotspot 元件驗證來自類別檔案之位元組程式碼的方式中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過 Java Sandbox 限制。
(CVE-2014-6601)

在 OpenJDK 的 JAX-WS 和 RMI 元件中發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2015-0412、CVE-2015-0408)

在熱點記憶體回收行程處理虛設參照的方式中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器記憶體，且可能執行任意程式碼而繞過 Java Sandbox 限制。
(CVE-2015-0395)

在 OpenJDK 的 Security 元件中，DER (Distinguished Encoding Rules) 解碼器處理負長度值的方式有一個瑕疵。以 DER 編碼的特製輸入，解碼時可能造成 Java 應用程式進入無限迴圈。(CVE-2015-0410)

在加密區塊鏈結 (CBC) 模式下解密使用區塊加密法加密的訊息時，SSL 3.0 通訊協定處理填補位元組的方式有一個瑕疵。此瑕疵可能會允許攔截式 (MITM) 攻擊者使用 padding oracle 攻擊來解密部分密碼文字。(CVE-2014-3566)

據發現，在 OpenJDK 的 JSSE 元件中，SSL/TLS 實作無法正確檢查 SSL/TLS 連線交握期間是否收到了 ChangeCipherSpec。
MITM 攻擊者可能利用此瑕疵，在不啟用加密的狀態下強制建立連線。(CVE-2014-6593)

在 OpenJDK 的 Swing 元件中發現一個資訊洩漏瑕疵。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。(CVE-2015-0407)

在 OpenJDK 的 Libraries 元件中，MulticastSocket 實作存在一個 NULL 指標解除參照瑕疵。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過特定 Java Sandbox 限制。(CVE-2014-6587)

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在多個邊界檢查瑕疵。特製的字型檔可能允許未受信任的 Java 應用程式或 applet 洩漏部分 Java 虛擬機器記憶體。(CVE-2014-6585、CVE-2014-6591)

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案。(CVE-2015-0383)

注意：如果已安裝 icedtea-web 套件所提供的網頁瀏覽器外掛程式，則當使用者造訪惡意網站時，可能在無使用者互動的環境下惡意利用透過 Java applet 揭露的問題。

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

遠端主機上安裝的 Oracle Java SE 或 Java for Business 版本，比 8 Update 31、7 Update 75、 6 Update 91 或 5 Update 81 舊。因此受到下列元件中的安全性弱點影響：

- 2D
 - Deployment
 - Hotspot
 - Install
 - JAX-WS
 - JSSE
 - Libraries
 - RMI
 - Security
 - Serviceability
 - Swing

遠端 Redhat Enterprise Linux 5/6 主機上安裝的套件受到 RHSA-2015:0264 公告中提及的多個弱點影響。

  - IBM JDK：共用類別快取造成的權限提升 (CVE-2014-3065)

  - IBM JDK：Java CMS keystore 提供者可能允許復原遭暴力破解的私密金鑰 (CVE-2014-3068)

  - IBM JDK：權限提升問題 (CVE-2014-3086)

  - SSL/TLS：降級的舊版 Padding Oracle 加密攻擊 (CVE-2014-3566)

  - OpenJDK：SubjectDelegator 保護不足 (JMX，8029755) (CVE-2014-4209)

  - OpenJDK：複製介面傳遞至 proxy 方法 (Libraries，8035009) (CVE-2014-4218)

  - OpenJDK：位元組程式碼驗證無法防止 ctor 呼叫 this() 和 super() (Hotspot，8035119) (CVE-2014-4219)

  - Oracle JDK：已修正 6u81、7u65 和 8u11 中的不明弱點 (部署) (CVE-2014-4227、CVE-2014-4265)

  - OpenJDK：RSA 偽裝問題 (Security，8031346) (CVE-2014-4244)

  - OpenJDK：防止採用非公開建構函式的服務具現化 (Security，8035004) (CVE-2014-4252)

  - OpenJDK：AtomicReferenceFieldUpdater 缺少原始類型檢查 (Libraries，8039520) (CVE-2014-4262)

  - OpenJDK：Diffie-Hellman 公開金鑰驗證不足 (Security，8037162) (CVE-2014-4263)

  - Oracle JDK：已修正 6u85、7u71 和 8u25 中的不明弱點 (部署) (CVE-2014-4288、CVE-2014-6458、CVE-2014-6492、CVE-2014-6493、CVE-2014-6503、CVE-2014-6515、CVE-2014-6532)

  - OpenJDK：針對 TLS/SSL 連線的三重交握攻擊 (JSSE，8037066) (CVE-2014-6457)

  - OpenJDK：載入 ResourceBundle 時，LogRecord 使用的 CL 不正確 (Libraries，8042797) (CVE-2014-6502)

  - OpenJDK：在系統記錄器上設定資源組合時，權限檢查不足 (Libraries，8041564) (CVE-2014-6506)

  - ICU：配置引擎 ContextualSubstitution 缺少邊界檢查 (JDK 2D，8041540) (CVE-2014-6511)

  - OpenJDK：DatagramSocket 連線通訊端缺少來源檢查 (Libraries，8039509) (CVE-2014-6512)

  - OpenJDK：ResourceBundle 名稱檢查不足 (Libraries，8044274) (CVE-2014-6531)

  - OpenJDK：CipherInputStream 不正確的例外狀況處理 (Security，8037846) (CVE-2014-6558)

  - ICU：字型剖析 OOB 讀取 (OpenJDK 2D，8055489) (CVE-2014-6585)

  - OpenJDK：MulticastSocket NULL 指標解除參照 (Libraries，8056264) (CVE-2014-6587)

  - ICU：字型剖析 OOB 讀取 (OpenJDK 2D，8056276) (CVE-2014-6591)

  - OpenJDK：SSL/TLS 交握期間未正確追蹤 ChangeCipherSpec (JSSE，8057555) (CVE-2014-6593)

  - IBM JDK：已修正 2015 年 2 月更新中的不明完整 Java Sandbox 繞過問題 (CVE-2014-8891)

  - IBM JDK：已修正 2015 年 2 月更新中的不明部分 Java 沙箱繞過問題 (CVE-2014-8892)

  - OpenJDK：記憶體回收行程中存在虛設參照處理問題 (Hotspot，8047125) (CVE-2015-0395)

  - Oracle JDK：已修正 6u91、7u75 和 8u31 中的不明弱點 (部署) (CVE-2015-0403、CVE-2015-0406)

  - OpenJDK：透過檔案選擇器造成目錄資訊洩漏 (Swing，8055304) (CVE-2015-0407)

  - OpenJDK：RMI 傳輸過程中使用的內容類別載入器不正確 (RMI，8055309) (CVE-2015-0408)

  - OpenJDK：DER 解碼器無限迴圈 (Security，8059485) (CVE-2015-0410)

  - OpenJDK：程式碼權限檢查不足 (JAX-WS，8054367) (CVE-2015-0412)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The version of Oracle Java SE or Java for Business installed on the remote host is prior to 8 Update 31, 7 Update 75, 6 Update 91, or 5 Update 81. It is, therefore, affected by security vulnerabilities in the following components :

 - 2D
 - Deployment
 - Hotspot
 - Install
 - JAX-WS
 - JSSE
 - Libraries
 - RMI
 - Security
 - Serviceability
 - Swing

The Oracle Java SE installed on the remote host is version 5 prior to Update 26, 6 prior to Update 91, 7 prior to Update 75, or 8 prior to Update 26; therefore, it is affected by multiple vulnerabilities.  While the details of these vulnerabilities are not currently known, the vendor has acknowledged that confidentiality, integrity, and availability can be impacted remotely.  The components affected by these vulnerabilities are:

 - 2D (CVE-2014-6585, CVE-2014-6591)
 - DER Decoder (CVE-2015-0410)
 - Hotspot (CVE-2015-0383)
 - Hotspot Garbage Collector (CVE-2015-0395)
 - JSSE (CVE-2014-6593)
 - RMI (CVE-2015-0408)
 - Swing (CVE-2015-0407)

ID	名稱	產品	系列	已發布	已更新	嚴重性
82742	VMware Workspace Portal 多個 Java 弱點 (VMSA-2015-0003) (POODLE)	Nessus	Misc.	2015/4/13	2018/11/15	critical
80903	Scientific Linux 安全性更新：SL6.x、SL7.x i386/x86_64 上的 java-1.7.0-openjdk (POODLE)	Nessus	Scientific Linux Local Security Checks	2015/1/22	2023/6/28	low
80908	Oracle Java SE 多個弱點 (2015 年 1 月 CPU) (POODLE)	Nessus	Windows	2015/1/22	2024/12/19	critical
81505	RHEL 5/6：Red Hat Satellite IBM Java Runtime (RHSA-2015:0264)	Nessus	Red Hat Local Security Checks	2015/2/25	2025/3/20	low
700649	Oracle Java SE 5 < Update 81 / 6 < Update 91 / 7 < Update 75 / 8 < Update 31 Multiple Vulnerabilities (January 2015 CPU) (POODLE)	Nessus Network Monitor	Web Clients	2019/5/2	2019/5/2	critical
8897	Oracle Java SE 5 < Update 76 / 6 < Update 86 / 7 < Update 73 / 8 < Update 26 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2015/2/12	2019/3/6	high

偵測

搜尋 Plugin

critical

low

critical

low

critical

high