遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 7 Update 15、6 Update 41、 5 Update 40 或 1.4.2 Update 42 舊。因此可能受到以下元件中的安全性問題影響：

- Deployment
 - JMX
 - JSSE
 - Libraries

IBM Java 7 已更新至 SR4，可修正多種重大的安全性問題和錯誤。

如需詳細資訊，請參閱 IBM JDK 警示頁面：

http://www.ibm.com/developerworks/java/jdk/alerts/

修正的安全性問題：

- / CVE-2012-3174。(CVE-2013-1487 / CVE-2013-1486 / CVE-2013-1478 / CVE-2013-0445 / CVE-2013-1480 / CVE-2013-0441 / CVE-2013-1476 / CVE-2012-1541 / CVE-2013-0446 / CVE-2012-3342 / CVE-2013-0442 / CVE-2013-0450 / CVE-2013-0425 / CVE-2013-0426 / CVE-2013-0428 / CVE-2012-3213 / CVE-2013-0419 / CVE-2013-0423 / CVE-2013-0351 / CVE-2013-0432 / CVE-2013-1473 / CVE-2013-0435 / CVE-2013-0434 / CVE-2013-0409 / CVE-2013-0427 / CVE-2013-0433 / CVE-2013-0424 / CVE-2013-0440 / CVE-2013-0438 / CVE-2013-0443 / CVE-2013-1484 / CVE-2013-1485 / CVE-2013-0437 / CVE-2013-0444 / CVE-2013-0449 / CVE-2013-0431 / CVE-2013-0422)

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 java-1.7.0-openjdk 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

這些套件提供 OpenJDK 7 Java Runtime Environment 與 OpenJDK 7 Software Development Kit。

在 OpenJDK 的 JMX 和 Libraries 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2013-1486、CVE-2013-1484)

在 OpenJDK 的 Libraries 元件中發現權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2013-1485)

據發現，使用 CBC 模式的加密套件時，如果為 TLS/SSL 通訊協定加密的記錄解密，則 OpenJDK 會洩漏計時資訊。遠端攻擊者可能利用此瑕疵，將 TLS/SSL 伺服器作為 Padding Oracle 使用，進而擷取來自加密封包的純文字。(CVE-2013-0169)

此 erratum 也會將 OpenJDK 套件升級至 IcedTea7 2.3.7。
請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

更新版 java-1.7.0-openjdk 套件可修正安全性弱點：

在 OpenJDK 的反射 API 中，發現兩個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2012-3174、CVE-2013-0422)。

在 OpenJDK 的 AWT、CORBA、JMX、Libraries 和 Beans 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2013-0442、CVE-2013-0445、CVE-2013-0441、CVE-2013-1475、CVE-2013-1476、CVE-2013-0429、CVE-2013-0450、CVE-2013-0425、CVE-2013-0426、CVE-2013-0428、CVE-2013-0444)。

在 2D 和 AWT 元件中的影像剖析器處理影像點陣參數的方式中發現多個瑕疵。特製的影像可造成 Java 虛擬機器記憶體損毀，而且可能導致以虛擬機器權限執行任意程式碼 (CVE-2013-1478、CVE-2013-1480)。

在 AWT 元件的剪貼簿處理程式碼中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過 Java sandbox 限制，而存取剪貼簿資料 (CVE-2013-0432)。

預設的 Java 安全性內容組態無法限制對某些 com.sun.xml.internal 套件的存取。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java sandbox 限制，而存取資訊。此更新將整個套件列為受限制 (CVE-2013-0435)。

在 JMX、Libraries、Networking 和 JAXP 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過特定 Java Sandbox 限制 (CVE-2013-0431、CVE-2013-0427、CVE-2013-0433、CVE-2013-0434)。

據發現，RMI 元件的 CGIHandler 類別在錯誤訊息中使用使用者輸入，而沒有進行任何清理。攻擊者可利用此瑕疵執行跨網站指令碼 (XSS) 攻擊 (CVE-2013-0424)。

據發現，JSSE 元件中的 SSL/TLS 實作允許無限次重新開始交握，因此無法正確強制執行交握訊息排序。遠端攻擊者可利用此瑕疵，藉由連續重新啟動交握，讓使用 JSSE 的 SSL/TLS 伺服器過度消耗 CPU (CVE-2013-0440)。

據發現，JSSE 元件無法正確驗證 Diffie-Hellman 公開金鑰。SSL/TLS 用戶端可能利用此瑕疵執行小型子群組攻擊 (CVE-2013-0443)。

在 OpenJDK 的 JMX 和 Libraries 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2013-1486、CVE-2013-1484)。

在 OpenJDK 的 Libraries 元件中發現權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用此瑕疵繞過特定 Java Sandbox 限制 (CVE-2013-1485)。

據發現，使用 CBC 模式的加密套件時，如果為 TLS/SSL 通訊協定加密的記錄解密，則 OpenJDK 會洩漏計時資訊。遠端攻擊者可能利用此瑕疵，將 TLS/SSL 伺服器作為 Padding Oracle 使用，進而擷取來自加密封包的純文字 (CVE-2013-0169)。

在 2D 元件處理某些範例模型執行個體的方式中發現一個整數溢位瑕疵。特製的範例模型執行個體可使 Java 虛擬機器記憶體損毀，而且可能導致使用虛擬機器權限執行任意程式碼 (CVE-2013-0809)。

據發現，2D 元件無法正確拒絕某些格式錯誤的影像。特製的點陣參數可使 Java 虛擬機器記憶體損毀，而且可能導致使用虛擬機器權限執行任意程式碼 (CVE-2013-1493)。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 Supplementary 的更新版 java-1.7.0-ibm 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM Java SE 版本 7 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。IBM 「安全性警示」頁面會詳細說明這些弱點，如<參照>一節中所列。(CVE-2012-1541、CVE-2012-3174、CVE-2012-3213、CVE-2012-3342、CVE-2013-0351、CVE-2013-0409、CVE-2013-0419、CVE-2013-0422、CVE-2013-0423、CVE-2013-0424、CVE-2013-0425、CVE-2013-0426、CVE-2013-0427、CVE-2013-0428、CVE-2013-0431、CVE-2013-0432、CVE-2013-0433、CVE-2013-0434、CVE-2013-0435、CVE-2013-0437、CVE-2013-0438、CVE-2013-0440、CVE-2013-0441、CVE-2013-0442、CVE-2013-0443、CVE-2013-0444、CVE-2013-0445、CVE-2013-0446、CVE-2013-0449、CVE-2013-0450、CVE-2013-0809、CVE-2013-1473、CVE-2013-1476、CVE-2013-1478、CVE-2013-1480、CVE-2013-1484、CVE-2013-1485、CVE-2013-1486、CVE-2013-1487、CVE-2013-1493)

建議所有 java-1.7.0-ibm 使用者皆升級至這些更新版套件，其中包含 IBM Java SE 7 SR4 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

在 OpenJDK 的 JMX 和 Libraries 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2013-1486、CVE-2013-1484)

在 OpenJDK 的 Libraries 元件中發現權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用此缺陷，繞過特定 Java Sandbox 限制。
(CVE-2013-1485)

據發現，使用 CBC 模式的加密套件時，如果為 TLS/SSL 通訊協定加密的記錄解密，OpenJDK 會洩漏計時資訊。遠端攻擊者可能利用此缺陷，將 TLS/SSL 伺服器作為 Padding Oracle 使用，進而擷取來自加密封包的純文字。(CVE-2013-0169)

現已提供適用於 Red Hat Enterprise Linux 5 和 6 Supplementary 的更新版 java-1.7.0-oracle 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Oracle Java SE 7 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。

此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的數個弱點。如需這些瑕疵的詳細資訊，請參閱 Oracle Java SE 重要修補程式更新公告頁面的＜參照＞一節內容。
(CVE-2013-0169、CVE-2013-1484、CVE-2013-1485、CVE-2013-1486、CVE-2013-1487)

建議所有 java-1.7.0-oracle 使用者皆升級至這些更新版套件，其提供 Oracle Java 7 Update 15 並可解決這些問題。必須重新啟動 Oracle Java 所有執行中的執行個體，此更新才會生效。

Nadhem Alfardan 和 Kenny Paterson 發現，OpenJDK 中使用的 TLS 通訊協定容易受到計時側通道攻擊，稱為「Lucky Thirteen」問題。遠端攻擊者可利用此問題透過計時資料的分析，執行純文字復原攻擊。
(CVE-2013-0169)

在 OpenJDK JRE 中發現一個與資訊洩漏和資料完整性相關的弱點。攻擊者可加以惡意利用，進而造成拒絕服務。此問題只會影響 Ubuntu 12.10。(CVE-2013-1484)

在 OpenJDK JRE 中發現一個與資料完整性相關的弱點。此問題只會影響 Ubuntu 12.10。(CVE-2013-1485)

在 OpenJDK JRE 中發現兩個與資訊洩漏和資料完整性相關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務。(CVE-2013-1486、CVE-2013-1487)。

來自 Red Hat 安全性公告 2013:0275：

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 java-1.7.0-openjdk 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

這些套件提供 OpenJDK 7 Java Runtime Environment 與 OpenJDK 7 Software Development Kit。

在 OpenJDK 的 JMX 和 Libraries 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2013-1486、CVE-2013-1484)

在 OpenJDK 的 Libraries 元件中發現權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2013-1485)

據發現，使用 CBC 模式的加密套件時，如果為 TLS/SSL 通訊協定加密的記錄解密，則 OpenJDK 會洩漏計時資訊。遠端攻擊者可能利用此瑕疵，將 TLS/SSL 伺服器作為 Padding Oracle 使用，進而擷取來自加密封包的純文字。(CVE-2013-0169)

此 erratum 也會將 OpenJDK 套件升級至 IcedTea7 2.3.7。
請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

遠端主機受到 GLSA-201401-30 中所述弱點的影響 (Oracle JRE/JDK：多個弱點)

Oracle Java 實作中已報告有多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

未經驗證的遠端攻擊者可惡意利用這些弱點來執行任意程式碼。
 此外，本機或遠端攻擊者可惡意利用這些弱點造成不明影響，其中可能包含遠端任意程式碼執行。
 因應措施：

目前尚無已知的因應措施。

遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
64790	Oracle Java SE 多個弱點 (2013 年 2 月 CPU Update 1)	Nessus	Windows	2013/2/21	2022/12/5	critical
65246	SuSE 11.2 安全性更新：Java (SAT 修補程式編號 7454)	Nessus	SuSE Local Security Checks	2013/3/13	2022/5/25	critical
64731	CentOS 5 / 6：java-1.7.0-openjdk (CESA-2013:0275)	Nessus	CentOS Local Security Checks	2013/2/21	2022/12/5	critical
66107	Mandriva Linux 安全性公告：java-1.7.0-openjdk (MDVSA-2013:095)	Nessus	Mandriva Local Security Checks	2013/4/20	2022/12/5	critical
64748	RHEL 5 / 6：java-1.7.0-openjdk (RHSA-2013:0275)	Nessus	Red Hat Local Security Checks	2013/2/21	2022/12/5	critical
65204	RHEL 5 / 6：java-1.7.0-ibm (RHSA-2013:0626)	Nessus	Red Hat Local Security Checks	2013/3/12	2022/5/25	critical
69721	Amazon Linux AMI：java-1.7.0-openjdk (ALAS-2013-162)	Nessus	Amazon Linux Local Security Checks	2013/9/4	2022/12/5	critical
64775	RHEL 5 / 6：java-1.7.0-oracle (RHSA-2013:0532)	Nessus	Red Hat Local Security Checks	2013/2/21	2022/12/5	critical
64801	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10：openjdk-6、openjdk-7 弱點 (USN-1735-1)	Nessus	Ubuntu Local Security Checks	2013/2/22	2022/12/5	critical
64851	Oracle Java SE 多個弱點 (2013 年 2 月 CPU Update 1) (Unix)	Nessus	Misc.	2013/2/22	2022/12/5	critical
68736	Oracle Linux 5 / 6：java-1.7.0-openjdk (ELSA-2013-0275)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2022/12/5	critical
72139	GLSA-201401-30：Oracle JRE/JDK：多個弱點	Nessus	Gentoo Local Security Checks	2014/1/27	2022/12/5	critical
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical