在 eclipse 中發現一個弱點且已更正：

在 3.6.2 之前的 Eclipse IDE 中，Help Contents web 應用程式 (即 Help Server) 內的多個跨網站指令碼 (XSS) 弱點可讓遠端攻擊者透過查詢字串，將任意 web 指令碼或 HTML 插入 (1) help/index.jsp 或 (2) help/advanced/content.jsp 中 (CVE-2010-4647)。

適用於 2009.0 的套件會隨著「延長維護計畫」提供。如需深入瞭解，請造訪這個連結：
http://store.mandriva.com/product_info.php?cPath=149 products_id=490

已修補更新版套件，以更正此問題。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2011:0568 公告中提及的弱點影響。

    Eclipse 軟體開發環境提供一組適用於 C/C++ 和 Java 開發的工具。

    在 Eclipse 說明內容 Web 應用程式中發現跨網站指令碼 (XSS) 缺陷。攻擊者可能會利用此缺陷，誘騙受害者造訪特製的 Eclipse 說明 URL，進而對其發動跨網站指令碼攻擊。 (CVE-2010-4647)

    下列 Eclipse 套件已升級至官方上游 Eclipse Helios SR1 版中的版本，相較於先前的版本，此版本可提供數個錯誤修正與增強功能：

    * eclipse 至 3.6.1。(BZ#656329)
    * eclipse-cdt 至 7.0.1。(BZ#656333)
    * eclipse-birt 至 2.6.0。(BZ#656391)
    * eclipse-emf 至 2.6.0。(BZ#656344)
    * eclipse-gef 至 3.6.1。(BZ#656347)
    * eclipse-mylyn 至 3.4.2。(BZ#656337)
    * eclipse-rse 至 3.2。(BZ#656338)
    * eclipse-dtp 至 1.8.1。(BZ#656397)
    * eclipse-changelog 至 2.7.0。(BZ#669499)
    * eclipse-valgrind 至 0.6.1。(BZ#669460)
    * eclipse-callgraph 至 0.6.1。(BZ#669462)
    * eclipse-oprofile 至 0.6.1。(BZ#670228)
    * eclipse-linuxprofilingframework 至 0.6.1。(BZ#669461)

    此外，已對以上 Eclipse 套件的相依性進行下列更新：

    * icu4j 至 4.2.1。(BZ#656342)
    * sat4j 至 2.2.0。(BZ#661842)
    * objectweb-asm 至 3.2。(BZ#664019)
    * jetty-eclipse 至 6.1.24。(BZ#661845)

    此更新包含數個上游錯誤修正與增強，例如：

    * Eclipse IDE 和 Java 開發工具 (JDT)：

    - 專案與資料夾可篩除工作區中的資源。
    - 新虛擬資料夾與連結檔案支援。
    - 現在支援一組完整的 UNIX 檔案權限。
    - 新增停止按鈕以取消長時間執行的精靈工作。
    - Java 編輯器現在可透過問題暫留顯示多個快速修正。
    - 對於執行 JUnit 第 4 版測試的新支援。
    - 超過 200 個上游錯誤修正。

    * Eclipse C/C++ 開發工具 (CDT)：

    - 已新增 Codan 架構以供進行靜態程式碼分析。
    - 重構改善，例如儲存的重構歷史記錄。
    - 編譯與建構錯誤現在會在建構主控台中醒目提示。
    - 切換至新的 DSF 除錯程式架構。
    - 新範本檢視支援。
    - 超過 600 個上游錯誤修正。

    此更新也可修正下列錯誤：

    * 已修正「說明內容」視窗中 GNU 工具不正確的 URI。(BZ#622713)

    * 如果 Eclipse 專案不在 Eclipse 工作區中，則二進位檔的分析無法運作。此更新為外部專案分析新增自動化測試，其更正了此問題。(BZ#622867)

    * 在 Eclipse 中執行 C/C++ 應用程式已成功終止，但是在「錯誤記錄」視窗中傳回與應用程式本身不相關的 I/O 例外狀況。透過此更新，不會再傳回例外狀況。
    (BZ#668890)

    * eclipse-mylyn 套件顯示一個 20100916-0100-e3x 限定詞。限定詞已修改為 v20100902-0100-e3x 以符合 eclipse-mylyn 的上游版本。(BZ#669819)

    * 安裝 eclipse-mylyn 套件失敗，並傳回一個「資源暫時無法使用」錯誤訊息，這是因為套件中的一個錯誤所導致。此更新修正了此錯誤，且安裝現在可如預期運作。(BZ#673174)

    * 構建 eclipse-cdt 套件可能會失敗，這是因為與本機檔案系統的互動不正確所導致。現在可防止與本機檔案系統互動，且建構不再失敗。(BZ#678364)

    * eclipse-cdt 套件所提供的 libhover 外掛程式使用二進位資料搜尋暫留主題。資料位置在外部指定為 URL，其可造成在沒有網際網路存取權的系統上發生例外狀況。此更新修改了外掛程式，以便能夠從本機位置引入所需資料。(BZ#679543)

    eclipse 使用者應升級至這些更新版套件，其可更正這些問題並新增這些增強功能。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Eclipse 軟體開發環境提供一組適用於 C/C++ 和 Java 開發的工具。

在 Eclipse 說明內容 Web 應用程式中發現跨網站指令碼 (XSS) 瑕疵。攻擊者可利用此瑕疵，誘騙受害者造訪特製的 Eclipse 說明 URL，進而對其發動跨網站指令碼攻擊。(CVE-2010-4647)

下列 Eclipse 套件已升級至官方上游 Eclipse Helios SR1 版中的版本，相較於先前的版本，此版本可提供數個錯誤修正與增強功能。

- eclipse 至 3.6.1。

- eclipse-cdt 至 7.0.1。

- eclipse-birt 至 2.6.0。

- eclipse-emf 至 2.6.0。

- eclipse-gef 至 3.6.1。

- eclipse-mylyn 至 3.4.2。

- eclipse-rse 至 3.2。

- eclipse-dtp 至 1.8.1。

- eclipse-changelog 至 2.7.0。

- eclipse-valgrind 至 0.6.1。

- eclipse-callgraph 至 0.6.1。

- eclipse-oprofile 至 0.6.1。

- eclipse-linuxprofilingframework 至 0.6.1。

此外，已對以上 Eclipse 套件的相依性進行下列更新：

- icu4j 至 4.2.1。

- sat4j 至 2.2.0。

- objectweb-asm 至 3.2。

- jetty-eclipse 至 6.1.24。

此更新包含數個上游錯誤修正與增強，例如：

- Eclipse IDE 和 Java 開發工具 (JDT)：

- 專案與資料夾可篩除工作區中的資源。

- 新虛擬資料夾與連結檔案支援。

- 現在支援一組完整的 UNIX 檔案權限。

- 新增停止按鈕以取消長時間執行的精靈工作。

- Java 編輯器現在可透過問題暫留顯示多個快速修正。

- 對於執行 JUnit 第 4 版測試的新支援。

- 超過 200 個上游錯誤修正。

- Eclipse C/C++ 開發工具 (CDT)：

- 已新增 Codan 架構以供進行靜態程式碼分析。

- 重構改善，例如儲存的重構歷程記錄。

- 編譯與建構錯誤現在會在建構主控台中醒目提示。

- 切換至新的 DSF 除錯程式架構。

- 新範本檢視支援。

- 超過 600 個上游錯誤修正。

此更新也可修正下列錯誤：

- 已修正「說明內容」視窗中，GNU 工具不正確的 URI。

- 如果 Eclipse 專案不在 Eclipse 工作空間，則二進位的分析無法運作。此更新為外部專案分析新增自動化測試，其更正了此問題。

- 在 Eclipse 中執行 C/C++ 應用程式已成功終止，但是在「錯誤記錄」視窗中傳回與應用程式本身不相關的 I/O 例外狀況。透過此更新，不會再傳回例外狀況。

- eclipse-mylyn 套件顯示一個「20100916-0100-e3x」限定詞。限定詞已修改為「v20100902-0100-e3x」以符合 eclipse-mylyn 的上游版本。

- 安裝 eclipse-mylyn 套件失敗，並傳回一個「資源暫時無法使用」錯誤訊息，這是因為套件中的一個錯誤所導致。此更新修正了此錯誤，且安裝現在可如預期運作。

- 構建 eclipse-cdt 套件可能會失敗，這是因為與本機檔案系統的互動不正確所導致。
 現在可防止與本機檔案系統互動，且建構不再失敗。

- eclipse-cdt 套件所提供的 libhover 外掛程式使用二進位資料搜尋暫留主題。
 資料位置在外部指定為 URL，其可造成在沒有網際網路存取權的系統上發生例外狀況。此更新修改了外掛程式，以便能夠從本機位置引入所需資料。

eclipse 使用者應升級至這些更新版套件，其可更正這些問題並新增這些增強功能。

遠端 Oracle Linux 6 主機上安裝的套件受到 ELSA-2011-0568 公告中提及的弱點影響。

  - 在 3.6.2 之前的 Eclipse IDE 中，Help Contents web 應用程式 (即 Help Server) 內的多個跨網站指令碼 (XSS) 弱點可讓遠端攻擊者透過查詢字串，將任意 web 指令碼或 HTML 插入 (1) help/index.jsp 或 (2) help/advanced/content.jsp 中。(CVE-2010-4647)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 3.6.2 之前的 Eclipse IDE 中，Help Contents web 應用程式 (即 Help Server) 內的多個跨網站指令碼 (XSS) 弱點可讓遠端攻擊者透過查詢字串，將任意 web 指令碼或 HTML 插入 (1) help/index.jsp 或 (2) help/advanced/content.jsp 中。(CVE-2010-4647)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
52041	Mandriva Linux 安全性公告：eclipse (MDVSA-2011:032)	Nessus	Mandriva Local Security Checks	2011/2/21	2021/1/6	medium
54595	RHEL 6：eclipse (RHSA-2011:0568)	Nessus	Red Hat Local Security Checks	2011/5/20	2025/3/20	medium
61040	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 eclipse	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
181063	Oracle Linux 6：eclipse (ELSA-2011-0568)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	medium
217400	Linux Distros 未修補弱點：CVE-2010-4647	Nessus	Misc.	2025/3/3	2025/3/3	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium