在 OpenJDK 的反射 API 中，發現兩個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2012-3174、CVE-2013-0422)

此 erratum 也會將 OpenJDK 套件升級至 IcedTea7 2.3.4。

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 7 Update 11 舊，因此，可能受到下列安全性問題影響：

- Libraries 元件中存在不明問題。(CVE-2012-3174)

- 「MBeanInstantiator.findClass」方法中存在一個錯誤，可允許遠端任意程式碼執行。
 (CVE-2013-0422)

請注意，根據公告，僅 Java 的用戶端部署有這些問題，此外，攻擊者僅可透過未受信任的「Java Web Start」應用程式和未受信任的 Java applet 惡意利用這些問題。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 java-1.7.0-openjdk 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

這些套件提供 OpenJDK 7 Java Runtime Environment 與 OpenJDK 7 Software Development Kit。

在 OpenJDK 的反射 API 中，發現兩個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2012-3174、CVE-2013-0422)

此 erratum 也會將 OpenJDK 套件升級至 IcedTea7 2.3.4。
請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

據發現，可能透過 Java applet 繞過 OpenJDK 7 的安全性機制。如果使用者遭誘騙而開啟惡意網站，遠端攻擊者可惡意利用這點，以叫用程式的使用者身分執行任意程式碼。

IBM Java 7 已更新至 SR4，可修正多種重大的安全性問題和錯誤。

如需詳細資訊，請參閱 IBM JDK 警示頁面：

http://www.ibm.com/developerworks/java/jdk/alerts/

修正的安全性問題：

- / CVE-2012-3174。(CVE-2013-1487 / CVE-2013-1486 / CVE-2013-1478 / CVE-2013-0445 / CVE-2013-1480 / CVE-2013-0441 / CVE-2013-1476 / CVE-2012-1541 / CVE-2013-0446 / CVE-2012-3342 / CVE-2013-0442 / CVE-2013-0450 / CVE-2013-0425 / CVE-2013-0426 / CVE-2013-0428 / CVE-2012-3213 / CVE-2013-0419 / CVE-2013-0423 / CVE-2013-0351 / CVE-2013-0432 / CVE-2013-1473 / CVE-2013-0435 / CVE-2013-0434 / CVE-2013-0409 / CVE-2013-0427 / CVE-2013-0433 / CVE-2013-0424 / CVE-2013-0440 / CVE-2013-0438 / CVE-2013-0443 / CVE-2013-1484 / CVE-2013-1485 / CVE-2013-0437 / CVE-2013-0444 / CVE-2013-0449 / CVE-2013-0431 / CVE-2013-0422)

現已提供適用於 Red Hat Enterprise Linux 5 和 6 增補程式的更新版 java-1.7.0-oracle 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Oracle Java SE 7 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。

此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的兩個弱點。如需這些瑕疵的詳細資訊，請參閱 Oracle 安全性警示頁面的〈參照〉一節。(CVE-2012-3174、CVE-2013-0422)

Red Hat 已覺察 CVE-2013-0422 會遭到公開惡意利用，當使用者透過已啟用 Oracle Java 7 網頁瀏覽器外掛程式的瀏覽器造訪惡意網頁時，可在沒有使用者互動的情況下執行程式碼。

建議所有 java-1.7.0-oracle 使用者皆升級至這些更新版套件，其提供 Oracle Java 7 Update 11 並可解決這些問題。必須重新啟動 Oracle Java 所有執行中的執行個體，此更新才會生效。

此更新可修正 rhbz#895035，該錯誤包含一組可能允許任意程式碼執行 (包含從遠端透過 applet 執行) 的瑕疵。

強烈建議 Fedora 中的所有 Java 使用者立即更新至此版本。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-201401-30 中所述弱點的影響 (Oracle JRE/JDK：多個弱點)

Oracle Java 實作中已報告有多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

未經驗證的遠端攻擊者可惡意利用這些弱點來執行任意程式碼。
 此外，本機或遠端攻擊者可惡意利用這些弱點造成不明影響，其中可能包含遠端任意程式碼執行。
 因應措施：

目前尚無已知的因應措施。

更新版 java-1.7.0-openjdk 套件可修正安全性弱點：

在 OpenJDK 的反射 API 中，發現兩個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2012-3174、CVE-2013-0422)。

在 OpenJDK 的 AWT、CORBA、JMX、Libraries 和 Beans 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2013-0442、CVE-2013-0445、CVE-2013-0441、CVE-2013-1475、CVE-2013-1476、CVE-2013-0429、CVE-2013-0450、CVE-2013-0425、CVE-2013-0426、CVE-2013-0428、CVE-2013-0444)。

在 2D 和 AWT 元件中的影像剖析器處理影像點陣參數的方式中發現多個瑕疵。特製的影像可造成 Java 虛擬機器記憶體損毀，而且可能導致以虛擬機器權限執行任意程式碼 (CVE-2013-1478、CVE-2013-1480)。

在 AWT 元件的剪貼簿處理程式碼中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過 Java sandbox 限制，而存取剪貼簿資料 (CVE-2013-0432)。

預設的 Java 安全性內容組態無法限制對某些 com.sun.xml.internal 套件的存取。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java sandbox 限制，而存取資訊。此更新將整個套件列為受限制 (CVE-2013-0435)。

在 JMX、Libraries、Networking 和 JAXP 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過特定 Java Sandbox 限制 (CVE-2013-0431、CVE-2013-0427、CVE-2013-0433、CVE-2013-0434)。

據發現，RMI 元件的 CGIHandler 類別在錯誤訊息中使用使用者輸入，而沒有進行任何清理。攻擊者可利用此瑕疵執行跨網站指令碼 (XSS) 攻擊 (CVE-2013-0424)。

據發現，JSSE 元件中的 SSL/TLS 實作允許無限次重新開始交握，因此無法正確強制執行交握訊息排序。遠端攻擊者可利用此瑕疵，藉由連續重新啟動交握，讓使用 JSSE 的 SSL/TLS 伺服器過度消耗 CPU (CVE-2013-0440)。

據發現，JSSE 元件無法正確驗證 Diffie-Hellman 公開金鑰。SSL/TLS 用戶端可能利用此瑕疵執行小型子群組攻擊 (CVE-2013-0443)。

在 OpenJDK 的 JMX 和 Libraries 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2013-1486、CVE-2013-1484)。

在 OpenJDK 的 Libraries 元件中發現權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用此瑕疵繞過特定 Java Sandbox 限制 (CVE-2013-1485)。

據發現，使用 CBC 模式的加密套件時，如果為 TLS/SSL 通訊協定加密的記錄解密，則 OpenJDK 會洩漏計時資訊。遠端攻擊者可能利用此瑕疵，將 TLS/SSL 伺服器作為 Padding Oracle 使用，進而擷取來自加密封包的純文字 (CVE-2013-0169)。

在 2D 元件處理某些範例模型執行個體的方式中發現一個整數溢位瑕疵。特製的範例模型執行個體可使 Java 虛擬機器記憶體損毀，而且可能導致使用虛擬機器權限執行任意程式碼 (CVE-2013-0809)。

據發現，2D 元件無法正確拒絕某些格式錯誤的影像。特製的點陣參數可使 Java 虛擬機器記憶體損毀，而且可能導致使用虛擬機器權限執行任意程式碼 (CVE-2013-1493)。

來自 Red Hat 安全性公告 2013:0165：

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 java-1.7.0-openjdk 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

這些套件提供 OpenJDK 7 Java Runtime Environment 與 OpenJDK 7 Software Development Kit。

在 OpenJDK 的反射 API 中，發現兩個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2012-3174、CVE-2013-0422)

此 erratum 也會將 OpenJDK 套件升級至 IcedTea7 2.3.4。
請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

java-1_7_0-openjdk 已更新至 icedtea-2.3.4，可修正錯誤和重大安全性問題：

- 安全性修正：

- S8004933、CVE-2012-3174：改善 MethodHandle 與程式庫的互動

- S8006017、CVE-2013-0422：改善查閱解析

- S8006125：更新 MethodHandles 程式庫互動

- 錯誤修正

- S7197906：BlockOffsetArray::power_to_cards_back() 必須處理 > 32 位元移位

- G422525：修正支援 PaX 的核心構建。

- 使用 gpg-offline 檢查 icedtea tarball 的有效性

- 在 %arm 上使用 jamvm

- 針對 jamvm 版本使用 icedtea 套件名稱，而非受保護的 openjdk

- 修正 armv5 版本

- 更新至 java 存取橋接器 1.26.2

- 錯誤修正版本，主要為 64bit JNI 和 JVM 支援

- 修正 AWT 程式碼中的 segfault - (bnc#792951)

- 新增 openjdk-7-src-b147-awt-crasher.patch

-在 11.4 版之前的 distros 上關閉 pulseaudio

現已提供適用於 Red Hat Enterprise Linux 5 和 6 Supplementary 的更新版 java-1.7.0-ibm 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM Java SE 版本 7 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。IBM 「安全性警示」頁面會詳細說明這些弱點，如<參照>一節中所列。(CVE-2012-1541、CVE-2012-3174、CVE-2012-3213、CVE-2012-3342、CVE-2013-0351、CVE-2013-0409、CVE-2013-0419、CVE-2013-0422、CVE-2013-0423、CVE-2013-0424、CVE-2013-0425、CVE-2013-0426、CVE-2013-0427、CVE-2013-0428、CVE-2013-0431、CVE-2013-0432、CVE-2013-0433、CVE-2013-0434、CVE-2013-0435、CVE-2013-0437、CVE-2013-0438、CVE-2013-0440、CVE-2013-0441、CVE-2013-0442、CVE-2013-0443、CVE-2013-0444、CVE-2013-0445、CVE-2013-0446、CVE-2013-0449、CVE-2013-0450、CVE-2013-0809、CVE-2013-1473、CVE-2013-1476、CVE-2013-1478、CVE-2013-1480、CVE-2013-1484、CVE-2013-1485、CVE-2013-1486、CVE-2013-1487、CVE-2013-1493)

建議所有 java-1.7.0-ibm 使用者皆升級至這些更新版套件，其中包含 IBM Java SE 7 SR4 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

ID	名稱	產品	系列	已發布	已更新	嚴重性
63607	Scientific Linux 安全性更新：SL5.x、SL6.x i386/x86_64 上的 java-1.7.0-openjdk。	Nessus	Scientific Linux Local Security Checks	2013/1/17	2022/5/25	critical
64840	Oracle Java SE 7 < Update 11 多個弱點 (Unix)	Nessus	Misc.	2013/2/22	2022/5/25	critical
63581	CentOS 5 / 6：java-1.7.0-openjdk (CESA-2013:0165)	Nessus	CentOS Local Security Checks	2013/1/17	2022/5/25	critical
63609	Ubuntu 12.10：openjdk-7 弱點 (USN-1693-1)	Nessus	Ubuntu Local Security Checks	2013/1/17	2022/5/25	critical
65246	SuSE 11.2 安全性更新：Java (SAT 修補程式編號 7454)	Nessus	SuSE Local Security Checks	2013/3/13	2022/5/25	critical
63534	RHEL 5 / 6：java-1.7.0-oracle (RHSA-2013:0156)	Nessus	Red Hat Local Security Checks	2013/1/15	2022/5/25	critical
63585	Fedora 17 : java-1.7.0-openjdk-1.7.0.9-2.3.4.fc17 (2013-0868)	Nessus	Fedora Local Security Checks	2013/1/17	2022/5/25	critical
72139	GLSA-201401-30：Oracle JRE/JDK：多個弱點	Nessus	Gentoo Local Security Checks	2014/1/27	2022/12/5	critical
63521	Oracle Java SE 7 < Update 11 多個弱點	Nessus	Windows	2013/1/14	2022/5/25	high
63590	RHEL 5 / 6：java-1.7.0-openjdk (RHSA-2013:0165)	Nessus	Red Hat Local Security Checks	2013/1/17	2024/4/27	critical
66107	Mandriva Linux 安全性公告：java-1.7.0-openjdk (MDVSA-2013:095)	Nessus	Mandriva Local Security Checks	2013/4/20	2022/12/5	critical
63584	Fedora 18 : java-1.7.0-openjdk-1.7.0.9-2.3.4.fc18 (2013-0853)	Nessus	Fedora Local Security Checks	2013/1/17	2022/5/25	critical
63586	Fedora 16 : java-1.7.0-openjdk-1.7.0.9-2.3.4.fc16 (2013-0888)	Nessus	Fedora Local Security Checks	2013/1/17	2022/5/25	critical
68709	Oracle Linux 5 / 6：java-1.7.0-openjdk (ELSA-2013-0165)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2022/5/25	critical
75022	openSUSE 安全性更新：java-1_7_0-openjdk (openSUSE-SU-2013:0199-1)	Nessus	SuSE Local Security Checks	2014/6/13	2022/5/25	critical
65204	RHEL 5 / 6：java-1.7.0-ibm (RHSA-2013:0626)	Nessus	Red Hat Local Security Checks	2013/3/12	2022/5/25	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

high

critical

critical

critical

critical

critical

critical

critical