現已提供適用於 Red Hat Enterprise Linux 6 Supplementary 和 Red Hat Enterprise Linux 7 Supplementary 的 java-1.8.0-ibm 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。IBM Java SE 版本 8 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。此更新會將 IBM Java SE 8 升級至 8 SR4-FP5 版。安全性修正：* 此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的多個弱點。有關這些缺陷的進一步資訊，請查閱〈參照〉一節所列的「IBM Java 安全性弱點」頁面連結內容。(CVE-2016-9840、CVE-2016-9841、CVE-2016-9842、CVE-2016-9843、CVE-2017-1289、CVE-2017-3509、CVE-2017-3511、CVE-2017-3533、CVE-2017-3539、CVE-2017-3544)

遠端主機執行的 Mac OS X 是 10.10.5 之前的版本、10.11.6 之前的 10.11.x 版、10.12.6 之前的 10.12.x 版，或者不是 macOS 10.13 版。因此受到下列元件中的多個弱點影響：- apache - AppSandbox - AppleScript - Application Firewall - ATS - Audio - CFNetwork - CFNetwork Proxies - CFString - Captive Network Assistant - CoreAudio - CoreText - DesktopServices - Directory Utility - file - Fonts - fsck_msdos - HFS - Heimdal - HelpViewer - IOFireWireFamily - ImageIO - Installer - Kernel - kext tools - libarchive - libc - libexpat - Mail - Mail Drafts - ntp - Open Scripting Architecture - PCRE - Postfix - Quick Look - QuickTime - Remote Management - SQLite - Sandbox - Screen Lock - Security - Spotlight - WebKit - zlib 請注意，如果成功惡意利用多數嚴重問題，將導致任意程式碼執行。

遠端主機受到 GLSA-201701-56 中所述的弱點影響 (zlib：多個弱點) 在 zlib 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：攻擊者可造成拒絕服務情況。因應措施：目前尚無已知的因應措施。

據發現，rsync 未正確處理 zlib 中的指標算術。攻擊者可利用此問題造成 rsync 損毀，進而導致拒絕服務，或可能執行任意程式碼。
(CVE-2016-9840、CVE-2016-9841)

據發現，rsync 未正確處理 zlib 中包含負整數左移的向量。攻擊者可利用此問題造成 rsync 損毀，進而導致拒絕服務，或可能執行任意程式碼。(CVE-2016-9842)

據發現，rsync 未正確處理 zlib 中包含位元組由大到小 CRC 計算的向量。攻擊者可利用此問題造成 rsync 損毀，進而導致拒絕服務，或可能執行任意程式碼。(CVE-2016-9843)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據安裝的 zlib 套件版本，遠端主機上安裝的 EulerOS Virtualization 會受到下列弱點影響：- zlib 1.2.8 中的 inftrees.c 可讓內容相依的攻擊者透過利用不當的指標算術，造成不明影響。(CVE-2016-9840) - zlib 1.2.8 中的 inffast.c 可讓內容相依的攻擊者透過利用不當的指標算術，造成不明影響。(CVE-2016-9841) - zlib 1.2.8 中 inflate.c 內的 inflateMark 函式可讓內容相依的攻擊者透過負整數左移相關向量，造成不明影響。(CVE-2016-9842) - zlib 1.2.8 中 crc32.c 內的 crc32_big 函式可讓內容相依的攻擊者透過 big-endian CRC 計算相關向量，造成不明影響。(CVE-2016-9843) 請注意，Tenable Network Security 已直接從 EulerOS 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Red Hat Enterprise Linux 6 Supplementary 和 Red Hat Enterprise Linux 7 Supplementary 的 java-1.7.1-ibm 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。IBM Java SE 版本 7 發行版本 1 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。此更新會將 IBM Java SE 7 升級至 7R1 SR4-FP5 版。安全性修正：* 此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的多個弱點。有關這些缺陷的進一步資訊，請查閱〈參照〉一節所列的「IBM Java 安全性弱點」頁面連結內容。(CVE-2016-9840、CVE-2016-9841、CVE-2016-9842、CVE-2016-9843、CVE-2017-1289、CVE-2017-3509、CVE-2017-3511、CVE-2017-3533、CVE-2017-3539、CVE-2017-3544)

現已提供適用於 Red Hat Satellite 5.8 和 Red Hat Satellite 5.8 ELS 的 java-1.8.0-ibm 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。IBM Java SE 版本 8 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。此更新會將 IBM Java SE 8 升級至 8 SR5-FP5 版。安全性修正：* 此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的多個弱點。有關這些缺陷的進一步資訊，請查閱〈參照〉一節所列的「IBM Java 安全性弱點」頁面。(CVE-2016-9840、CVE-2016-9841、CVE-2016-9842、CVE-2016-9843、CVE-2016-10165、CVE-2017-1289、CVE-2017-3509、CVE-2017-3511、CVE-2017-3533、CVE-2017-3539、CVE-2017-3544、CVE-2017-10053、CVE-2017-10067、CVE-2017-10078、CVE-2017-10087、CVE-2017-10089、CVE-2017-10090、CVE-2017-10096、CVE-2017-10101、CVE-2017-10102、CVE-2017-10105、CVE-2017-10107、CVE-2017-10108、CVE-2017-10109、CVE-2017-10110、CVE-2017-10115、CVE-2017-10116、CVE-2017-10243、CVE-2017-10281、CVE-2017-10285、CVE-2017-10295、CVE-2017-10309、CVE-2017-10345、CVE-2017-10346、CVE-2017-10347、CVE-2017-10348、CVE-2017-10349、CVE-2017-10350、CVE-2017-10355、CVE-2017-10356、CVE-2017-10357、CVE-2017-10388) 如需如何套用此更新的資訊 (包括本公告中所述的變更)，請參閱：https://access.redhat.com/articles/11258 必須重新啟動 Red Hat Satellite，此更新才會生效 ('/usr/sbin/rhn-satellite restart')。所有執行中的 IBM Java 執行個體都必須重新啟動，此更新才會生效。

據發現，zlib 未正確處理指標算術。攻擊者可利用此問題造成 zlib 損毀，進而導致拒絕服務，或可能執行任意程式碼。(CVE-2016-9840、CVE-2016-9841)

據發現，zlib 未正確處理包含負整數左移的向量。攻擊者可利用此問題造成 zlib 損毀，進而導致拒絕服務，或可能執行任意程式碼。(CVE-2016-9842)

據發現，zlib 未正確處理包含位元組由大到小 CRC 計算的向量。攻擊者可利用此問題造成 zlib 損毀，進而導致拒絕服務，或可能執行任意程式碼。(CVE-2016-9843)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-202007-54 中所述的弱點影響 (rsync：多個弱點)

    已在 rsync 中發現多個弱點 (在 bundled zlib 中)。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    如需詳細資料，請檢閱提及的 CVE 識別碼。
  因應措施：

    目前尚無已知的因應措施。

Trail of Bits 使用為 DARPA Cyber Grand Challenge 開發的自動弱點探索工具來稽核 zlib。rsync 是一種快速、多樣化，遠端 (和本機) 檔案複製工具，因為它使用 zlib 的內嵌入副本，因此 rsync 中也存在這些問題。CVE-2016-9840 為了避免發生不明行為，請移除位移指標最佳化，因為它不符合 C 標準。CVE-2016-9841 僅使用後遞增以符合 C 標準。CVE-2016-9842 為了避免發生不明行為，請勿轉移負數值，因為這不符合 C 標準。CVE-2016-9843 為了避免發生不明行為，請勿在 big-endian CRC 計算中預先減少指標，因為這不符合 C 標準。CVE-2018-5764 當用戶端已經傳送 --protect-args 時，透過忽略 --protect-args 來防止遠端攻擊者能夠繞過參數清除保護機制。針對 Debian 8「Jessie」，這些問題已在 3.1.1-3~deb8u2 版本中修正。建議您升級 rsync 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其自我報告的版本號碼，在遠端主機上執行的 IBM BigFix Platform 應用程式為比 9.1.1328.0 舊的 9.1.x 或比 9.2.11.19 舊的 9.2.x。因此，會受到多個弱點影響：- 檔案 inftrees.c 的 zlib 內有一個超出邊界指標算術錯誤存在。未經驗證的遠端攻擊者可加以惡意利用，透過特製的文件造成拒絕服務情形。(CVE-2016-9840) - 檔案 inffast.c 的 zlib 內有一個超出邊界指標算術錯誤存在。未經驗證的遠端攻擊者可加以惡意利用，透過特製的文件造成拒絕服務情形。(CVE-2016-9841) - 檔案 inflate.c 的 z_streamp() 函式內的 zlib 中有一個缺陷存在，此缺陷與負值左移有關。未經驗證的遠端攻擊者可加以惡意利用，透過特製的文件造成拒絕服務情形。(CVE-2016-9842) - 處理位元組由大到小的指標計算時，檔案 crc32.c 的 crc32_big() 函式內有一個超出邊界指標缺陷存在。未經驗證的遠端攻擊者可加以惡意利用，透過特製的文件造成拒絕服務情形。(CVE-2016-9843) - 在 Web 型使用者介面中存在一個跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可惡意利用此弱點，透過特製的要求，在使用者的瀏覽器工作階段內執行任意指令碼。(CVE-2017-1203) - 剖析 XML 資料時，有一個 XML 外部實體 (XXE) 插入缺陷存在，這是因為未正確設定接受來自未受信任來源之 XML 外部實體的 XML 剖析器所致。未經驗證的遠端攻擊者可惡意利用此弱點，透過特製的 XML 資料，造成拒絕服務情形或洩漏敏感資訊。(CVE-2017-1219) IBM BigFix 之前稱為 Tivoli Endpoint Manager、IBM Endpoint Manager 和 IBM BigFix Endpoint Manager。請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

現已提供適用於 Red Hat Enterprise Linux 6 Supplementary 的 java-1.6.0-ibm 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。IBM Java SE 版本 6 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。此更新會將 IBM Java SE 6 升級至 6 SR16-FP45 版。安全性修正：* 此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的多個弱點。有關這些缺陷的進一步資訊，請查閱〈參照〉一節所列的「IBM Java 安全性弱點」頁面連結內容。(CVE-2016-9840、CVE-2016-9841、CVE-2016-9842、CVE-2016-9843、CVE-2017-1289、CVE-2017-3509、CVE-2017-3533、CVE-2017-3539、CVE-2017-3544)

現已提供適用於 Oracle Java for Red Hat Enterprise Linux 6 和 Oracle Java for Red Hat Enterprise Linux 7 的 java-1.6.0-sun 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Oracle Java SE 6 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。此更新會將 Oracle Java SE 6 升級至版本 6 Update 171。安全性修正：* 此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的多個弱點。如需這些缺陷的詳細資訊，請參閱「Oracle Java SE 重要修補程式更新公告」頁面的＜參照＞一節內容。(CVE-2016-9840、CVE-2016-9841、CVE-2016-9842、CVE-2016-9843、CVE-2017-10274、CVE-2017-10281、CVE-2017-10285、CVE-2017-10293、CVE-2017-10295、CVE-2017-10345、CVE-2017-10346、CVE-2017-10347、CVE-2017-10348、CVE-2017-10349、CVE-2017-10355、CVE-2017-10356、CVE-2017-10357、CVE-2017-10388) 注意：從此更新開始，Java 網頁瀏覽器外掛程式和 Java Web Start 應用程式不再隨附於 Oracle Java SE 6。請參閱「版本資訊」和〈參照〉一節連結的 Oracle Java SE Support Roadmap 頁面，取得關於此變更的進一步資訊。

現已提供適用於 Oracle Java for Red Hat Enterprise Linux 6 和 Oracle Java for Red Hat Enterprise Linux 7 的 java-1.8.0-oracle 更新。Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Oracle Java SE 8 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。此更新會將 Oracle Java SE 8 升級至版本 8 Update 151。安全性修正：* 此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的多個弱點。如需這些缺陷的詳細資訊，請參閱「Oracle Java SE 重要修補程式更新公告」頁面的＜參照＞一節內容。(CVE-2016-9840、CVE-2016-9841、CVE-2016-9842、CVE-2016-9843、CVE-2016-10165、CVE-2017-10274、CVE-2017-10281、CVE-2017-10285、CVE-2017-10293、CVE-2017-10295、CVE-2017-10309、CVE-2017-10345、CVE-2017-10346、CVE-2017-10347、CVE-2017-10348、CVE-2017-10349、CVE-2017-10350、CVE-2017-10355、CVE-2017-10356、CVE-2017-10357、CVE-2017-10388)

現已提供適用於 Oracle Java for Red Hat Enterprise Linux 6 和 Oracle Java for Red Hat Enterprise Linux 7 的 java-1.7.0-oracle 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Oracle Java SE 7 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。此更新會將 Oracle Java SE 7 升級至版本 7 Update 161。安全性修正：* 此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的多個弱點。如需這些缺陷的詳細資訊，請參閱「Oracle Java SE 重要修補程式更新公告」頁面的＜參照＞一節內容。(CVE-2016-9840、CVE-2016-9841、CVE-2016-9842、CVE-2016-9843、CVE-2016-10165、CVE-2017-10274、CVE-2017-10281、CVE-2017-10285、CVE-2017-10293、CVE-2017-10295、CVE-2017-10345、CVE-2017-10346、CVE-2017-10347、CVE-2017-10348、CVE-2017-10349、CVE-2017-10350、CVE-2017-10355、CVE-2017-10356、CVE-2017-10357、CVE-2017-10388) 注意：從此更新開始，Java 網頁瀏覽器外掛程式和 Java Web Start 應用程式不再隨附於 Oracle Java SE 7。請參閱「版本資訊」和〈參照〉一節連結的 Oracle Java SE Support Roadmap 頁面，取得關於此變更的進一步資訊。

遠端 AIX 主機上安裝的 Java SDK 版本受到下列子元件中的多個弱點影響：- zlib 子元件中存在多個缺陷，未經驗證的遠端攻擊者可藉以觸發拒絕服務情形。(CVE-2016-9840、CVE-2016-9841、CVE-2016-9842、CVE-2016-9843) - XML 子元件中存在一個不明缺陷，未經驗證的遠端攻擊者可藉以執行任意程式碼。(CVE-2017-1289) - Networking 子元件中存在一個不明缺陷，未經驗證的遠端攻擊者可藉以影響機密性和完整性。(CVE-2017-3509) - JCE 子元件中存在不明缺陷，本機攻擊者可藉以取得提升的權限。此弱點不會影響 Java SE 版本 6。(CVE-2017-3511) - AWT 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以執行任意程式碼。此弱點不會影響 Java SE 版本 6。(CVE-2017-3512) - AWT 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以執行任意程式碼。(CVE-2017-3514) - Networking 子元件中存在多個不明缺陷，未經驗證的遠端攻擊者可藉以取得更新、插入或刪除對未授權資料的存取權限。(CVE-2017-3533、CVE-2017-3544) - Security 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以取得更新、插入或刪除對未授權資料的存取權限。(CVE-2017-3539)

在 zlib (壓縮程式庫) 中發現數個問題。這些問題基本上與不正確的 big-endian CRC 計算、不正確的負整數左移和不正確的指標算術有關。

針對 Debian 8「Jessie」，已在 1:1.2.8.dfsg-2+deb8u1 版本中修正這些問題。

建議您升級 zlib 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機上安裝的 IBM Java 版本為 6.0 < 6.0.16.45 / 6.1 < 6.1.8.45 / 7.0 < 7.0.10.5 / 7.1 < 7.1.4.5 / 8.0 < 8.0.4.5。因此，其會受到 2017 年 5 月 IBM 安全性更新公告中提及的多個弱點影響。

  - zlib 1.2.8 中的 inftrees.c 可能允許內容相依的攻擊者利用不當的指標算術造成不明影響。(CVE-2016-9840)

  - zlib 1.2.8 中的 inffast.c 可能允許內容相依的攻擊者利用不當的指標算術造成不明影響。(CVE-2016-9841)

  - zlib 1.2.8 中 inflate.c 的 inflateMark 函式可能允許內容相依的攻擊者透過與負整數左移相關的向量，造成不明影響。(CVE-2016-9842)

  - 在 zlib 1.2.8 的 crc32.c 中，crc32_big 函式可允許內容相依的攻擊者透過與 big-endian CRC 計算有關的向量，造成不明影響。(CVE-2016-9843)

  - IBM SDK Java Technology Edition 在處理 XML 資料時容易受到 XML 外部實體插入 (XXE) 錯誤影響。遠端攻擊者可利用此弱點，洩漏高度敏感資訊或消耗記憶體資源。IBM X-Force ID：125150。(CVE-2017-1289)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

行動裝置上執行的 Apple iOS 版本比 11 舊。因此，會受到 HT208112 安全性公告中所述的多個弱點影響。

ID	名稱	產品	系列	已發布	已更新	嚴重性
100117	RHEL 6 / 7：java-1.8.0-ibm (RHSA-2017:1220)	Nessus	Red Hat Local Security Checks	2017/5/11	2019/10/24	critical
103598	macOS < 10.13 Multiple Vulnerabilities	Nessus	MacOS X Local Security Checks	2017/10/3	2018/7/14	critical
96691	GLSA-201701-56：zlib：多個弱點	Nessus	Gentoo Local Security Checks	2017/1/23	2021/1/11	critical
134039	Ubuntu 16.04 LTS / 18.04 LTS：rsync 弱點 (USN-4292-1)	Nessus	Ubuntu Local Security Checks	2020/2/25	2024/8/29	critical
123744	EulerOS Virtualization 2.5.3：zlib (EulerOS-SA-2019-1276)	Nessus	Huawei Local Security Checks	2019/4/4	2024/6/5	critical
100118	RHEL 6 / 7：java-1.7.1-ibm (RHSA-2017:1221)	Nessus	Red Hat Local Security Checks	2017/5/11	2019/10/24	critical
105267	RHEL 6：Satellite Server (RHSA-2017:3453)	Nessus	Red Hat Local Security Checks	2017/12/15	2024/6/3	critical
133204	Ubuntu 16.04 LTS：zlib 弱點 (USN-4246-1)	Nessus	Ubuntu Local Security Checks	2020/1/23	2024/8/27	critical
139117	GLSA-202007-54 : rsync：多個弱點	Nessus	Gentoo Local Security Checks	2020/7/30	2024/2/27	critical
123019	Debian DLA-1725-1：rsync 安全性更新	Nessus	Debian Local Security Checks	2019/3/25	2024/6/13	critical
102019	IBM BigFix Platform 9.1.x < 9.1.1328.0 / 9.2.x < 9.2.11.19 多個弱點	Nessus	Web Servers	2017/7/27	2019/11/12	critical
100119	RHEL 6：java-1.6.0-ibm (RHSA-2017:1222)	Nessus	Red Hat Local Security Checks	2017/5/11	2019/10/24	critical
104140	RHEL 6 / 7：java-1.6.0-sun (RHSA-2017:3047)	Nessus	Red Hat Local Security Checks	2017/10/25	2024/4/27	critical
104116	RHEL 6 / 7：java-1.8.0-oracle (RHSA-2017:2999)	Nessus	Red Hat Local Security Checks	2017/10/24	2024/4/27	critical
104139	RHEL 6 / 7：java-1.7.0-oracle (RHSA-2017:3046)	Nessus	Red Hat Local Security Checks	2017/10/25	2021/3/11	critical
103189	AIX Java 公告：java_apr2017_advisory.asc (2017 年 4 月 CPU)	Nessus	AIX Local Security Checks	2017/9/13	2023/4/21	high
133323	Debian DLA-2085-1：zlib 安全性更新	Nessus	Debian Local Security Checks	2020/1/30	2024/3/28	critical
160346	IBM Java 6.0 < 6.0.16.45 / 6.1 < 6.1.8.45 / 7.0 < 7.0.10.5 / 7.1 < 7.1.4.5 / 8.0 < 8.0.4.5 多個弱點	Nessus	Misc.	2022/4/29	2023/10/31	critical
103420	Apple iOS < 11 多個弱點	Nessus	Mobile Devices	2017/9/21	2024/9/4	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

high

critical

critical

critical