現已提供適用於 Red Hat Enterprise Linux 8 的 java-1.8.0-openjdk 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Java-1.8.0-openjdk 套件提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java Software Development Kit。安全性修正：* OpenJDK：不當處理 Kerberos 代理伺服器認證 (Kerberos、8220302) (CVE-2019-2949) * OpenJDK：Nashorn 中處理規則運算式時擲回不明的例外狀況 (指令碼，8223518) (CVE-2019-2975) * OpenJDK：Jar URL 處理常式中發生不當處理巢狀 jar: URL (網路、8223892) (CVE-2019-2978) * OpenJDK：HttpURLConnection 中發生不當處理 HTTP proxy 回應 (網路、8225298) (CVE-2019-2989) * OpenJDK：缺少自訂 SocketImpl 使用限制 (網路、8218573) (CVE-2019-2945) * OpenJDK：DrawGlyphList 中出現 NULL 指標解除參照 (2D, 8222690) (CVE-2019-2962) * OpenJDK：模式處理特製規則運算式擲回不明的例外狀況 (並行、8222684) (CVE-2019-2964) * OpenJDK：XPathParser 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8223505) (CVE-2019-2973) * OpenJDK：XPath 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8224532) (CVE-2019-2981) * OpenJDK：字型物件還原序列化期間擲回不明的例外狀況 (序列化、8224915) (CVE-2019-2983) * OpenJDK：FreetypeFontScaler 中缺少字符點陣圖影像尺寸檢查 (2D、8225286) (CVE-2019-2987) * OpenJDK：SunGraphics2D 中的邊界檢查出現整數溢位 (2D, 8225292) (CVE-2019-2988) * OpenJDK：讀取 TrueType 字型時在 CMap 中發生過度記憶體配置 (2D、8225597) (CVE-2019-2992) * OpenJDK：Javadoc 中發生 HTML 事件屬性篩選不足 (Javadoc、8226765) (CVE-2019-2999) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

此 java-11-openjdk 更新修正了下列問題：已修正安全性問題 (2019 年 10 月 CPU bsc#1154212)：CVE-2019-2933：Windows 檔案處理 redux CVE-2019-2945：更完善的通訊端支援 CVE-2019-2949：更完善的 Kerberos ccache 處理 CVE-2019-2958：構建更完善的處理程序 CVE-2019-2964：對模式提供更完善的支援 CVE-2019-2962：更完善的 Glyph 影像 CVE-2019-2973：更完善的模式編譯 CVE-2019-2975：jjs 中的非預期例外 CVE-2019-2978：改善 jar 檔案的處理方式 CVE-2019-2977：改善字串索引處理方式 CVE-2019-2981：更完善的路徑支援 CVE-2019-2983：更完善的序列屬性 CVE-2019-2987：更完善的原生 glyphs 轉譯方式 CVE-2019-2988：更完善的 Graphics2D 繪圖 CVE-2019-2989：改善 TLS 連線支援 CVE-2019-2992：強化字型 glyph 對應 CVE-2019-2999：對 Javadoc 註解的評論 CVE-2019-2894：強化 ECDSA 作業 (bsc#1152856)。請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機上安裝的 AOS 版本低於 6.10.1。因此，它受到 NXSA-AOS-6.10.1 公告中所提及的多個弱點影響。

  - 在 2.6.3之前的 libexpat 中發現一個問題。xmlparse.c 中的 nextScaffoldPart 可使 32 位元平台上的 m_groupSize 發生整數溢位 (其中 UINT_MAX 等於 SIZE_MAX)。(CVE-2024-45492)

  - 在 bzip2 (1.0.6 版之前) 中，存在許多選取器時，decompress.c 的 BZ2_decompress 會發生超出邊界寫入的問題。(CVE-2019-12900)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下更新、插入或刪除 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的部分可存取資料。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21131)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下造成 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版局部拒絕服務 (局部 DOS)。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21138)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下更新、插入或刪除 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的部分可存取資料，以及在未經授權的情況下讀取 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可存取資料的子集。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21140)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 AOS 版本低於 7.0.1。因此會受到 NXSA-AOS-7.0.1 公告中提及的多個弱點影響。

  - 在 bzip2 (1.0.6 版之前) 中，存在許多選取器時，decompress.c 的 BZ2_decompress 會發生超出邊界寫入的問題。(CVE-2019-12900)

  - 在 PAM 中發現一個弱點。敏感資訊儲存在記憶體中，攻擊者可透過將字元傳送至受害程式的標準輸入 (stdin)，觸發其執行特定行為。在此過程中，攻擊者可訓練分支預測器，以推測方式執行 ROP 鏈結。此缺陷可能導致密碼洩漏，例如在驗證過程中讀取到的 /etc/shadow 檔案。(CVE-2024-10041)

  - 在 pam_access 中發現一個缺陷，其設定檔中的特定規則會被誤認為主機名稱。此弱點允許攻擊者偽裝成受信任的主機名稱，誘騙系統以取得未經授權的存取權。對於依賴此功能來控制哪些使用者可存取特定服務或終端機的系統，此問題會造成風險。(CVE-2024-10963)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下更新、插入或刪除 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的部分可存取資料。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21131)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下造成 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版局部拒絕服務 (局部 DOS)。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21138)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2019:3157 公告中提及的多個弱點影響。

  - OpenJDK：缺少自訂 SocketImpl 使用限制 (Networking，8218573) (CVE-2019-2945)

  - OpenJDK：DrawGlyphList 中出現 NULL 指標解除參照 (2D，8222690) (CVE-2019-2962)

  - OpenJDK：模式處理特製規則運算式擲回不明的例外狀況 (Concurrency，8222684) (CVE-2019-2964)

  - OpenJDK：由 XPathParser 處理特製的 XPath 運算式擲回的意外異常 (JAXP，8223505) (CVE-2019-2973)

  - OpenJDK：Jar URL 處理常式中巢狀 jar: URL 的錯誤處理 (Networking，8223892) (CVE-2019-2978)

  - OpenJDK：由 XPath 處理特製的 XPath 運算式擲回的意外異常 (JAXP，8224532) (CVE-2019-2981)

  - OpenJDK：Font 物件還原序列化期間擲回的意外異常 (Serialization，8224915) (CVE-2019-2983)

  - OpenJDK：FreetypeFontScaler 中缺少字形點陣圖影像尺寸檢查 (2D，8225286) (CVE-2019-2987)

  - OpenJDK：SunGraphics2D 中的邊界檢查出現整數溢位 (2D，8225292) (CVE-2019-2988)

  - OpenJDK：HttpURLConnection 中發生不當處理 HTTP proxy 回應 (Networking，8225298) (CVE-2019-2989)

  - OpenJDK：讀取 TrueType 字型時在 CMap 中發生過度記憶體配置 (2D，8225597) (CVE-2019-2992)

  - OpenJDK：Javadoc 中對 HTML 事件屬性的篩選不足 (Javadoc，8226765) (CVE-2019-2999)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 7 Supplementary 的 java-1.7.1-ibm 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。IBM Java SE 版本 7 發行版本 1 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。此更新會將 IBM Java SE 7 升級至 7R1 SR4-FP55 版。安全性修正：* OpenJDK：Jar URL 處理常式中發生不當處理巢狀 jar: URL (網路、8223892) (CVE-2019-2978) * OpenJDK：HttpURLConnection 中發生不當處理 HTTP proxy 回應 (網路、8225298) (CVE-2019-2989) * OpenJDK：缺少自訂 SocketImpl 使用限制 (網路、8218573) (CVE-2019-2945) * OpenJDK：DrawGlyphList 中出現 NULL 指標解除參照 (2D、8222690) (CVE-2019-2962) * OpenJDK：模式處理特製規則運算式擲回不明的例外狀況 (並行、8222684) (CVE-2019-2964) * OpenJDK：XPathParser 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8223505) (CVE-2019-2973) * OpenJDK：XPath 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8224532) (CVE-2019-2981) * OpenJDK：字型物件還原序列化期間擲回不明的例外狀況 (序列化、8224915) (CVE-2019-2983) * OpenJDK：SunGraphics2D 中的邊界檢查出現整數溢位 (2D、8225292) (CVE-2019-2988) * OpenJDK：讀取 TrueType 字型時在 CMap 中發生過度記憶體配置 (2D、8225597) (CVE-2019-2992) * OpenJDK：Javadoc 中發生 HTML 事件屬性篩選不足 (Javadoc、8226765) (CVE-2019-2999) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

遠端主機上安裝的 IBM Java 版本為 7.0 < 7.0.10.55 / 7.1 < 7.1.4.55 / 8.0 < 8.0.6.10。因此，其會受到 2019 年 10 月 15 日 Oracle CPU 公告中提及的多個弱點影響。

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：程式庫)。受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若要成功攻擊，必須有攻擊者以外之他人的互動。若成功攻擊此弱點，未經授權即可讀取 Java SE、Java SE Embedded 可存取資料的子集。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2019-2933)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：Networking)。
    受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。
    攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若要成功攻擊，必須有攻擊者以外之他人的互動。若成功攻擊此弱點，未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，此部署通常在伺服器中。(CVE-2019-2945)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：Kerberos)。受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過 Kerberos 來危害 Java SE、Java SE Embedded。雖然弱點是在 Java SE、Java SE Embedded 中，但攻擊可能會顯著影響其他的產品。成功攻擊此弱點可導致未經授權地存取重要資料，或完整存取所有可供存取的 Java SE、Java SE Embedded 資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2019-2949)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：程式庫)。受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權地建立、刪除或修改重要資料或所有可供存取之 Java SE、Java SE Embedded 資料的存取權。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2019-2958)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：2D)。受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若成功攻擊此弱點，未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2019-2962)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：Concurrency)。
    受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。
    攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若成功攻擊此弱點，未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。
    注意：此弱點僅可透過以下方式進行利用：提供資料給指定元件中的 API，而不使用未受信任的 Java Web Start 應用程式或是未受信任的 Java Applet，如透過 Web 服務。(CVE-2019-2964)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：JAXP)。受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若成功攻擊此弱點，未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以利用此弱點，例如透過提供資料給 API 的 Web 服務。(CVE-2019-2973、CVE-2019-2981)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：Scripting)。受影響的支援版本是 Java SE：8u221、11.0.4 和 13；Java SE Embedded：8u221。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。成功攻擊此弱點可能導致未經授權的更新、插入或刪除某些可供存取之 Java SE、Java SE Embedded 資料的存取權和未經授權的能力，並可能造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2019-2975)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：Networking)。
    受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。
    攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若成功攻擊此弱點，未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。
    注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2019-2978)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：Serialization)。
    受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。
    攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若成功攻擊此弱點，未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。
    注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2019-2983)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：2D)。受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若成功攻擊此弱點，未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，且通常存在於伺服器中。(CVE-2019-2988、CVE-2019-2992)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：Networking)。
    受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13；Java SE Embedded：8u221。
    攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。雖然弱點是在 Java SE、Java SE Embedded 中，但攻擊可能會顯著影響其他的產品。成功攻擊此弱點可導致未經授權地建立、刪除或修改重要資料或所有可供存取之 Java SE、Java SE Embedded 資料的存取權。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2019-2989)

  - Oracle Java SE 的 Java SE、Java SE Embedded 產品中的弱點 (元件：Deployment)。受影響的支援版本為 Java SE：8u221；Java SE Embedded：8u221。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Java SE、Java SE Embedded。若要成功攻擊，必須有攻擊者以外之他人的互動。若成功攻擊此弱點，未經授權即可更新、插入或刪除某些 Java SE、Java SE Embedded 可存取資料，以及未經授權讀取 Java SE、Java SE Embedded 可存取資料的子集。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，此部署通常在伺服器中。(CVE-2019-2996)

  - Oracle Java SE 的 Java SE 產品中的弱點 (元件：Javadoc)。受影響的支援版本是 Java SE：7u231、8u221、11.0.4 和 13。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Java SE。若要成功攻擊，必須有攻擊者以外之他人的互動，且雖然弱點位於 Java SE 中，但攻擊可能對其他產品造成重大影響。成功攻擊此弱點可導致未經授權地更新、插入或刪除某些可供存取之 Java SE 資料的存取權，以及讀取可供存取之 Java SE 資料子集的存取權。注意：此弱點適用於 Java 部署，通常是在執行沙箱化 Java Web Start 應用程式或沙箱化 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，此部署通常在伺服器中。(CVE-2019-2999)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

已在 OpenJDK Java 執行時間中發現多個會造成跨網站指令碼、拒絕服務、 資訊洩漏或 Kerberos 使用者偽冒的弱點。

Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：Networking)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。必須有攻擊者以外的他人互動，此攻擊才會成功。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 3.1 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L)。(CVE-2019-2945) Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：Kerberos)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過 Kerberos 來危害 Java SE、Java SE Embedded。雖然弱點是在 Java SE、Java SE Embedded 中，但攻擊可能會顯著影響其他的產品。成功攻擊此弱點可導致未經授權地存取重要資料，或完整存取所有可供存取的 Java SE、Java SE Embedded 資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 6.8 (機密性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N)。(CVE-2019-2949) Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：2D)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2962) Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：Concurrency)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點僅可透過以下方式遭到惡意利用：提供資料給指定元件中的 API 而不使用未受信任的 Java Web Start 應用程式或是未受信任的 Java Applet，如透過網頁服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2964) Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：JAXP)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2973) Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：Scripting)。受影響的支援版本是 Java SE: 8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可能導致未經授權的更新、插入或刪除某些可供存取之 Java SE、Java SE Embedded 資料的存取權和未經授權的能力，並可能造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 4.8 (完整性和可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L)。(CVE-2019-2975) Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：Networking)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2978) Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：JAXP)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2981) Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：Serialization)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2983) Oracle Java SE 的 Java SE 產品中存有弱點 (元件：2D)。受影響的支援版本是 Java SE: 11.0.4 和 13。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Java SE。成功攻擊此弱點可導致未經授權即可造成 Java SE 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2987) Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：2D)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2988) Oracle GraalVM 的 Oracle GraalVM Enterprise Edition 產品中存有弱點 (元件：Java)。受影響的支援版本是 19.2.0 版。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Oracle GraalVM Enterprise Edition。雖然弱點位於 Oracle GraalVM Enterprise Edition 中，但攻擊可能對其他產品造成重大影響。成功攻擊此弱點可導致在未經授權的情況下，建立、刪除或修改重要資料或所有 Oracle GraalVM Enterprise Edition 可存取資料。CVSS 3.0 Base Score 6.8 (完整性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:N)。(CVE-2019-2989) Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：2D)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2992) Oracle Java SE 的 Java SE 產品中存有弱點 (元件：Javadoc)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Java SE。若要成功攻擊，必須有攻擊者以外之他人的互動，且雖然弱點位於 Java SE 中，但攻擊可能對其他產品造成重大影響。成功攻擊此弱點可導致未經授權地更新、插入或刪除某些可供存取之 Java SE 資料的存取權，以及讀取可供存取之 Java SE 資料子集的存取權。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 4.7 (機密性和完整性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N)。(CVE-2019-2999)

現已提供適用於 Red Hat Enterprise Linux 6 Supplementary 的 java-1.8.0-ibm 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。IBM Java SE 版本 8 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。此更新會將 IBM Java SE 8 升級至 8 SR6 版。安全性修正：* OpenJDK：Nashorn 中處理規則運算式時擲回不明的例外狀況 (指令碼，8223518) (CVE-2019-2975) * OpenJDK：Jar URL 處理常式中發生不當處理巢狀 jar: URL (網路、8223892) (CVE-2019-2978) * OpenJDK：HttpURLConnection 中發生不當處理 HTTP proxy 回應 (網路、8225298) (CVE-2019-2989) * Oracle JDK：修正 8u221 中的不明弱點 (Deployment) (CVE-2019-2996) * IBM JDK：診斷作業未受限制存取 (CVE-2019-17631) * OpenJDK：缺少自訂 SocketImpl 使用限制 (網路、8218573) (CVE-2019-2945) * OpenJDK：DrawGlyphList 中出現 NULL 指標解除參照 (2D、8222690) (CVE-2019-2962) * OpenJDK：模式處理特製規則運算式擲回不明的例外狀況 (並行、8222684) (CVE-2019-2964) * OpenJDK：XPathParser 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8223505) (CVE-2019-2973) * OpenJDK：XPath 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8224532) (CVE-2019-2981) * OpenJDK：字型物件還原序列化期間擲回不明的例外狀況 (序列化、8224915) (CVE-2019-2983) * OpenJDK：SunGraphics2D 中的邊界檢查出現整數溢位 (2D、8225292) (CVE-2019-2988) * OpenJDK：讀取 TrueType 字型時在 CMap 中發生過度記憶體配置 (2D、8225597) (CVE-2019-2992) * OpenJDK：Javadoc 中發生 HTML 事件屬性篩選不足 (Javadoc、8226765) (CVE-2019-2999) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

來自 Red Hat 安全性公告 2019:3128： 現已提供適用於 Red Hat Enterprise Linux 7 的 java-1.8.0-openjdk 更新。 Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 Java-1.8.0-openjdk 套件提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java Software Development Kit。 安全性修正： * OpenJDK：錯誤處理 Kerberos 代理認證 (Kerberos, 8220302) (CVE-2019-2949) * OpenJDK：在 Nashorn 中的規則運算式處理期間，擲回了意外異常 (Scripting, 8223518) (CVE-2019-2975) * OpenJDK：Jar URL 處理常式中巢狀 jar: URL 的錯誤處理 (Networking, 8223892) (CVE-2019-2978) * OpenJDK：HttpURLConnection 中對 HTTP 代理回應的錯誤處理 (Networking, 8225298) (CVE-2019-2989) * OpenJDK：缺少對使用自訂 SocketImpl 的限制 (Networking, 8218573) (CVE-2019-2945) * OpenJDK：DrawGlyphList 中的 NULL 指標解除參照 (2D, 8222690) (CVE-2019-2962) * OpenJDK：由模式處理特製的規則運算式擲回的意外異常 (Concurrency, 8222684) (CVE-2019-2964) * OpenJDK：由 XPathParser 處理特製的 XPath 運算式擲回的意外異常 (JAXP, 8223505) (CVE-2019-2973) * OpenJDK：由 XPath 處理特製的 XPath 運算式擲回的意外異常 (JAXP, 8224532) (CVE-2019-2981) * OpenJDK：Font 物件還原序列化期間擲回的意外異常 (Serialization, 8224915) (CVE-2019-2983) * OpenJDK：FreetypeFontScaler 中缺少字形點陣圖影像尺寸檢查 (2D, 8225286) (CVE-2019-2987) * OpenJDK：在 SunGraphics2D 中，邊界檢查中的整數溢位 (2D, 8225292) (CVE-2019-2988) * OpenJDK：當讀取 TrueType 字型時，CMap 中的記憶體配置過多 (2D, 8225597) (CVE-2019-2992) * OpenJDK：Javadoc 中對 HTML 事件屬性的篩選不足 (Javadoc, 8226765) (CVE-2019-2999) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

現已提供適用於 Red Hat Enterprise Linux 7 的 java-11-openjdk 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Java-11-openjdk 套件提供 OpenJDK 11 Java Runtime Environment 和 OpenJDK 11 Java Software Development Kit。安全性修正：* OpenJDK：不當處理 Kerberos 代理伺服器認證 (Kerberos、8220302) (CVE-2019-2949) * OpenJDK：Nashorn 中處理規則運算式時擲回不明的例外狀況 (指令碼，8223518) (CVE-2019-2975) * OpenJDK：最佳化字串索引實作中存在超出邊界存取 (Hotspot、8224062) (CVE-2019-2977) * OpenJDK：Jar URL 處理常式中發生不當處理巢狀 jar: URL (網路、8223892) (CVE-2019-2978) * OpenJDK：HttpURLConnection 中發生不當處理 HTTP proxy 回應 (網路、8225298) (CVE-2019-2989) * OpenJDK：缺少自訂 SocketImpl 使用限制 (網路、8218573) (CVE-2019-2945) * OpenJDK：DrawGlyphList 中出現 NULL 指標解除參照 (2D, 8222690) (CVE-2019-2962) * OpenJDK：模式處理特製規則運算式擲回不明的例外狀況 (並行、8222684) (CVE-2019-2964) * OpenJDK：XPathParser 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8223505) (CVE-2019-2973) * OpenJDK：XPath 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8224532) (CVE-2019-2981) * OpenJDK：字型物件還原序列化期間擲回不明的例外狀況 (序列化、8224915) (CVE-2019-2983) * OpenJDK：FreetypeFontScaler 中缺少字符點陣圖影像尺寸檢查 (2D、8225286) (CVE-2019-2987) * OpenJDK：SunGraphics2D 中的邊界檢查出現整數溢位 (2D, 8225292) (CVE-2019-2988) * OpenJDK：讀取 TrueType 字型時在 CMap 中發生過度記憶體配置 (2D、8225597) (CVE-2019-2992) * OpenJDK：Javadoc 中發生 HTML 事件屬性篩選不足 (Javadoc、8226765) (CVE-2019-2999) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Oracle Java SE 的 Java SE、Java SE Embedded 產品中存有弱點 (元件：Kerberos)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過 Kerberos 來危害 Java SE、Java SE Embedded。雖然弱點是在 Java SE、Java SE Embedded 中，但攻擊可能會顯著影響其他的產品。成功攻擊此弱點可導致未經授權地存取重要資料，或完整存取所有可供存取的 Java SE、Java SE Embedded 資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 6.8 (機密性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N)。(CVE-2019-2949) Oracle GraalVM 的 Oracle GraalVM Enterprise Edition 產品中的弱點 (元件：Java)。受影響的支援版本是 19.2.0 版。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Oracle GraalVM Enterprise Edition。雖然弱點位於 Oracle GraalVM Enterprise Edition 中，但攻擊可能對其他產品造成重大影響。成功攻擊此弱點可導致在未經授權的情況下，建立、刪除或修改重要資料或所有 Oracle GraalVM Enterprise Edition 可存取資料。CVSS 3.0 Base Score 6.8 (完整性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:N)。(CVE-2019-2989) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：Libraries)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權地建立、刪除或修改重要資料或所有可供存取之 Java SE、Java SE Embedded 資料的存取權。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 5.9 (完整性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N)。(CVE-2019-2958) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：Scripting)。受影響的支援版本是 Java SE: 8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可能導致未經授權的更新、插入或刪除某些可供存取之 Java SE、Java SE Embedded 資料的存取權和未經授權的能力，並可能造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 4.8 (完整性和可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L)。(CVE-2019-2975) 在 Oracle Jave SE 的 Java SE 產品中有一個弱點 (元件：Hotspot)。受影響的支援版本是 Java SE: 11.0.4 和 13。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Java SE。成功攻擊此弱點可導致未經授權對 Java SE 可存取資料子集進行讀取存取，以及未經授權造成 Java SE 部分拒絕服務 (部分 DOS) 的能力。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 4.8 (機密性和可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L)。(CVE-2019-2977) 在 Oracle Jave SE 的 Java SE 產品中有一個弱點 (元件：Javadoc)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Java SE。若要成功攻擊，必須有攻擊者以外之他人的互動，且雖然弱點位於 Java SE 中，但攻擊可能對其他產品造成重大影響。成功攻擊此弱點可導致未經授權地更新、插入或刪除某些可供存取之 Java SE 資料的存取權，以及讀取可供存取之 Java SE 資料子集的存取權。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 4.7 (機密性和完整性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N)。(CVE-2019-2999) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：JAXP)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2981) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：JAXP)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2973) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：Serialization)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2983) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：2D)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2988) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：Networking)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2978) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：Concurrency)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點僅可透過以下方式遭到惡意利用：提供資料給指定元件中的 API 而不使用未受信任的 Java Web Start 應用程式或是未受信任的 Java Applet，如透過網頁服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2964) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：2D)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2992) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：2D)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2962) 在 Oracle Java SE 的 Java SE 產品中有一個弱點 (元件：2D)。受影響的支援版本是 Java SE: 11.0.4 和 13。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定入侵 Java SE。成功攻擊此弱點可導致未經授權即可造成 Java SE 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 3.7 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2019-2987) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：Networking)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。必須有攻擊者以外的他人互動，此攻擊才會成功。成功攻擊此弱點可導致未經授權即可造成 Java SE、Java SE Embedded 部分拒絕服務 (部分 DOS)。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，通常是在伺服器中。CVSS 3.0 Base Score 3.1 (可用性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L)。(CVE-2019-2945) 在 Oracle Java SE 的 Java SE、Java SE Embedded 產品中有一個弱點 (元件：Security)。受影響的支援版本是 Java SE: 7u231、8u221、11.0.4 和 13; Java SE Embedded: 8u221。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過多個通訊協定來危害 Java SE、Java SE Embedded。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java SE、Java SE Embedded 資料的子集。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet (在 Java SE 8 中) 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 web 服務。CVSS 3.0 Base Score 3.7 (機密性影響)。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N)。(CVE-2019-2894)

現已提供適用於 Red Hat Enterprise Linux 8 的 java-11-openjdk 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Java-11-openjdk 套件提供 OpenJDK 11 Java Runtime Environment 和 OpenJDK 11 Java Software Development Kit。安全性修正：* OpenJDK：不當處理 Kerberos 代理伺服器認證 (Kerberos、8220302) (CVE-2019-2949) * OpenJDK：Nashorn 中處理規則運算式時擲回不明的例外狀況 (指令碼，8223518) (CVE-2019-2975) * OpenJDK：最佳化字串索引實作中存在超出邊界存取 (Hotspot、8224062) (CVE-2019-2977) * OpenJDK：Jar URL 處理常式中發生不當處理巢狀 jar: URL (網路、8223892) (CVE-2019-2978) * OpenJDK：HttpURLConnection 中發生不當處理 HTTP proxy 回應 (網路、8225298) (CVE-2019-2989) * OpenJDK：缺少自訂 SocketImpl 使用限制 (網路、8218573) (CVE-2019-2945) * OpenJDK：DrawGlyphList 中出現 NULL 指標解除參照 (2D, 8222690) (CVE-2019-2962) * OpenJDK：模式處理特製規則運算式擲回不明的例外狀況 (並行、8222684) (CVE-2019-2964) * OpenJDK：XPathParser 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8223505) (CVE-2019-2973) * OpenJDK：XPath 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8224532) (CVE-2019-2981) * OpenJDK：字型物件還原序列化期間擲回不明的例外狀況 (序列化、8224915) (CVE-2019-2983) * OpenJDK：FreetypeFontScaler 中缺少字符點陣圖影像尺寸檢查 (2D、8225286) (CVE-2019-2987) * OpenJDK：SunGraphics2D 中的邊界檢查出現整數溢位 (2D, 8225292) (CVE-2019-2988) * OpenJDK：讀取 TrueType 字型時在 CMap 中發生過度記憶體配置 (2D、8225597) (CVE-2019-2992) * OpenJDK：Javadoc 中發生 HTML 事件屬性篩選不足 (Javadoc、8226765) (CVE-2019-2999) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

安全性修正：- OpenJDK：不當處理 Kerberos 代理伺服器認證 (Kerberos、8220302) (CVE-2019-2949) - OpenJDK：Nashorn 中處理規則運算式時擲回不明的例外狀況 (指令碼，8223518) (CVE-2019-2975) - OpenJDK：Jar URL 處理常式中發生不當處理巢狀 jar: URL (網路、8223892) (CVE-2019-2978) - OpenJDK：HttpURLConnection 中發生不當處理 HTTP proxy 回應 (網路、8225298) (CVE-2019-2989) - OpenJDK：缺少自訂 SocketImpl 使用限制 (網路、8218573) (CVE-2019-2945) - OpenJDK：DrawGlyphList 中出現 NULL 指標解除參照 (2D, 8222690) (CVE-2019-2962) - OpenJDK：模式處理特製規則運算式擲回不明的例外狀況 (並行、8222684) (CVE-2019-2964) - OpenJDK：XPathParser 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8223505) (CVE-2019-2973) - OpenJDK：XPath 處理特製 XPath 運算式擲回不明的例外狀況 (JAXP、8224532) (CVE-2019-2981) - OpenJDK：字型物件還原序列化期間擲回不明的例外狀況 (序列化、8224915) (CVE-2019-2983) - OpenJDK：FreetypeFontScaler 中缺少字符點陣圖影像尺寸檢查 (2D、8225286) (CVE-2019-2987) - OpenJDK：SunGraphics2D 中的邊界檢查出現整數溢位 (2D, 8225292) (CVE-2019-2988) - OpenJDK：讀取 TrueType 字型時在 CMap 中發生過度記憶體配置 (2D、8225597) (CVE-2019-2992) - OpenJDK：Javadoc 中發生 HTML 事件屬性篩選不足 (Javadoc、8226765) (CVE-2019-2999)

遠端主機上安裝的 AOS 版本低於 7.0.0.5。因此會受到 NXSA-AOS-7.0.0.5 公告中所提及的多個弱點影響。

  - 在 bzip2 (1.0.6 版之前) 中，存在許多選取器時，decompress.c 的 BZ2_decompress 會發生超出邊界寫入的問題。(CVE-2019-12900)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下更新、插入或刪除 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的部分可存取資料。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21131)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下造成 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版局部拒絕服務 (局部 DOS)。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21138)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1；Oracle GraalVM for JDK：17.0.11、21.0.3、22.0.1；Oracle GraalVM 企業版：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下更新、插入或刪除 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的部分可存取資料，以及在未經授權的情況下讀取 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可存取資料的子集。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21140)

  - Oracle Java SE 的 Oracle Java SE 和 Oracle GraalVM Enterprise Edition 產品中的弱點 (元件：Concurrency)。受影響的支援版本是 Oracle Java SE：8u411、8u411-perf、11.0.23；Oracle GraalVM Enterprise Edition：20.3.14 和 21.3.10。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM 企業版。若成功攻擊此弱點，則可能導致在未經授權的情況下造成 Oracle Java SE、Oracle GraalVM 企業版部分拒絕服務 (部分 DOS)。
    注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，此部署通常在伺服器中。(CVE-2024-21144)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
130041	RHEL 8：java-1.8.0-openjdk (RHSA-2019:3134)	Nessus	Red Hat Local Security Checks	2019/10/18	2024/11/6	medium
131545	SUSE SLES12 安全性更新：java-11-openjdk (SUSE-SU-2019:3083-1)	Nessus	SuSE Local Security Checks	2019/12/3	2022/5/18	medium
215141	Nutanix AOS：多個弱點 (NXSA-AOS-6.10.1)	Nessus	Misc.	2025/2/7	2025/7/22	critical
242588	Nutanix AOS多個弱點 (NXSA-AOS-7.0.1)	Nessus	Misc.	2025/7/22	2025/7/22	critical
130140	RHEL 7：java-1.7.0-openjdk (RHSA-2019:3157)	Nessus	Red Hat Local Security Checks	2019/10/22	2024/11/6	medium
131748	RHEL 7：java-1.7.1-ibm (RHSA-2019:4110)	Nessus	Red Hat Local Security Checks	2019/12/6	2024/11/7	medium
160355	IBM Java 7.0 < 7.0.10.55 / 7.1 < 7.1.4.55 / 8.0 < 8.0.6.10 多個弱點	Nessus	Misc.	2022/4/29	2022/5/6	medium
130136	Debian DSA-4548-1：openjdk-8 - 安全性更新	Nessus	Debian Local Security Checks	2019/10/22	2024/4/17	medium
132754	Amazon Linux AMI：java-1.8.0-openjdk (ALAS-2020-1330)	Nessus	Amazon Linux Local Security Checks	2020/1/10	2024/12/11	medium
131919	RHEL 6：java-1.8.0-ibm (RHSA-2019:4113)	Nessus	Red Hat Local Security Checks	2019/12/10	2024/11/7	critical
129989	Oracle Linux 7 : java-1.8.0-openjdk (ELSA-2019-3128)	Nessus	Oracle Linux Local Security Checks	2019/10/17	2024/11/1	medium
129993	RHEL 7：java-11-openjdk (RHSA-2019:3127)	Nessus	Red Hat Local Security Checks	2019/10/17	2024/11/6	medium
130028	Amazon Linux 2：java-11-amazon-corretto (ALAS-2019-1316)	Nessus	Amazon Linux Local Security Checks	2019/10/18	2024/4/17	medium
130042	RHEL 8：java-11-openjdk (RHSA-2019:3135)	Nessus	Red Hat Local Security Checks	2019/10/18	2024/11/6	medium
130142	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 java-1.8.0-openjdk	Nessus	Scientific Linux Local Security Checks	2019/10/22	2024/4/17	medium
214211	Nutanix AOS：多個弱點 (NXSA-AOS-7.0.0.5)	Nessus	Misc.	2025/1/15	2025/7/22	critical

偵測

搜尋 Plugin

medium

medium

critical

critical

medium

medium

medium

medium

medium

critical

medium

medium

medium

medium

medium

critical