遠端主機上安裝的 VMware vCenter Operations Manager 隨附的 Java JRE 版本比 1.7.0_76-b13 (即 7.0.760) 舊。因而會受到一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點影響。此弱點是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。(CVE-2014-3566)

此外，下列隨附的 Java 元件中也存在多個不明弱點：

- 2D (CVE-2014-6585、CVE-2014-6591)

- Deployment (CVE-2015-0403、CVE-2015-0406)

- Hotspot (CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0437)

- Installation (CVE-2015-0421)

- JAX-WS (CVE-2015-0412)

- JSSE (CVE-2014-6593)

- Libraries (CVE-2014-6549、CVE-2014-6587、CVE-2015-0400)

- RMI (CVE-2015-0408)

- Security (CVE-2015-0410)

- Serviceability (CVE-2015-0413)

- Swing (CVE-2015-0407)

VMware 已經發佈修補程式，針對附於應用裝置的 JRE 進行更新。

遠端主機上安裝的 Oracle Java SE 或 Java for Business 版本，比 8 Update 31、7 Update 75、 6 Update 91 或 5 Update 81 舊。因此受到下列元件中的安全性弱點影響：

- 2D
 - Deployment
 - Hotspot
 - Install
 - JAX-WS
 - JSSE
 - Libraries
 - RMI
 - Security
 - Serviceability
 - Swing

遠端主機上安裝的 VMware Workspace Portal (之前稱為 VMware Horizon Workspace) 版本為 2.1.1 之前的 2.x 版。
因而會受到一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點影響。此弱點是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。
MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。
(CVE-2014-3566)

此外，下列隨附的 Java 元件中也存在多個不明弱點：

- 2D (CVE-2014-6585、CVE-2014-6591)

- Deployment (CVE-2015-0403、CVE-2015-0406)

- Hotspot (CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0437)

- Installation (CVE-2015-0421)

- JAX-WS (CVE-2015-0412)

- JSSE (CVE-2014-6593)

- Libraries (CVE-2014-6549、CVE-2014-6587、CVE-2015-0400)

- RMI (CVE-2015-0408)

- Security (CVE-2015-0410)

- Serviceability (CVE-2015-0413)

- Swing (CVE-2015-0407)

java-1_7_0-openjdk 已更新，修正了 19 個安全性問題。

如需詳細資料，請參閱 http://www.oracle.com/technetwork/topics/security/cpujan2015-1972971.html#AppendixJAVA

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 java-1.8.0-openjdk 套件，可修正多個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.8.0-openjdk 套件提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java Software Development Kit。

OpenJDK 的 Hotspot 元件驗證來自類別檔案的位元組程式碼的方式，以及此元件產生位元組程式碼的程式碼之方式，存在多個瑕疵。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-6601、CVE-2015-0437)

在 OpenJDK 的 JAX-WS、Libraries 和 RMI 元件中，發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2015-0412、CVE-2014-6549、CVE-2015-0408)

在熱點記憶體回收行程處理虛設參照的方式中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器記憶體，且可能執行任意程式碼而繞過 Java Sandbox 限制。
(CVE-2015-0395)

在 OpenJDK 的 Security 元件中，DER (Distinguished Encoding Rules) 解碼器處理負長度值的方式有一個瑕疵。以 DER 編碼的特製輸入，解碼時可能造成 Java 應用程式進入無限迴圈。(CVE-2015-0410)

在加密區塊鏈結 (CBC) 模式下解密使用區塊加密法加密的訊息時，SSL 3.0 通訊協定處理填補位元組的方式有一個瑕疵。此瑕疵可能允許攔截式 (MITM) 攻擊者使用 padding oracle 攻擊來解密部分密碼文字。(CVE-2014-3566)

注意：此更新會依預設停用 SSL 3.0 來解決此問題。
如有需要，jdk.tls.disabledAlgorithms 安全性內容可用於重新啟用 SSL 3.0 支援。如需其他資訊，請參閱 Red Hat Bugzilla 錯誤，連結附於〈參照〉一節中。

據發現，在 OpenJDK 的 JSSE 元件中，SSL/TLS 實作無法正確檢查 SSL/TLS 連線交握期間是否收到了 ChangeCipherSpec。
MITM 攻擊者可能利用此瑕疵，在不啟用加密的狀態下強制建立連線。(CVE-2014-6593)

在 OpenJDK 的 Swing 元件中發現一個資訊洩漏瑕疵。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。(CVE-2015-0407)

在 OpenJDK 的 Libraries 元件中，MulticastSocket 實作存在一個 NULL 指標解除參照瑕疵。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過特定 Java Sandbox 限制。(CVE-2014-6587)

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在多個邊界檢查瑕疵。特製的字型檔可能允許未受信任的 Java 應用程式或 applet 洩漏部分 Java 虛擬機器記憶體。(CVE-2014-6585、CVE-2014-6591)

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案。(CVE-2015-0383)

CVE-2015-0383 問題是由 Red Hat 發現。

建議所有 java-1.8.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

來自 Red Hat 安全性公告 2015:0069：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 java-1.8.0-openjdk 套件，可修正多個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.8.0-openjdk 套件提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java Software Development Kit。

OpenJDK 的 Hotspot 元件驗證來自類別檔案的位元組程式碼的方式，以及此元件產生位元組程式碼的程式碼之方式，存在多個瑕疵。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-6601、CVE-2015-0437)

在 OpenJDK 的 JAX-WS、Libraries 和 RMI 元件中，發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2015-0412、CVE-2014-6549、CVE-2015-0408)

在熱點記憶體回收行程處理虛設參照的方式中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器記憶體，且可能執行任意程式碼而繞過 Java Sandbox 限制。
(CVE-2015-0395)

在 OpenJDK 的 Security 元件中，DER (Distinguished Encoding Rules) 解碼器處理負長度值的方式有一個瑕疵。以 DER 編碼的特製輸入，解碼時可能造成 Java 應用程式進入無限迴圈。(CVE-2015-0410)

在加密區塊鏈結 (CBC) 模式下解密使用區塊加密法加密的訊息時，SSL 3.0 通訊協定處理填補位元組的方式有一個瑕疵。此瑕疵可能允許攔截式 (MITM) 攻擊者使用 padding oracle 攻擊來解密部分密碼文字。(CVE-2014-3566)

注意：此更新會依預設停用 SSL 3.0 來解決此問題。
如有需要，jdk.tls.disabledAlgorithms 安全性內容可用於重新啟用 SSL 3.0 支援。如需其他資訊，請參閱 Red Hat Bugzilla 錯誤，連結附於〈參照〉一節中。

據發現，在 OpenJDK 的 JSSE 元件中，SSL/TLS 實作無法正確檢查 SSL/TLS 連線交握期間是否收到了 ChangeCipherSpec。
MITM 攻擊者可能利用此瑕疵，在不啟用加密的狀態下強制建立連線。(CVE-2014-6593)

在 OpenJDK 的 Swing 元件中發現一個資訊洩漏瑕疵。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。(CVE-2015-0407)

在 OpenJDK 的 Libraries 元件中，MulticastSocket 實作存在一個 NULL 指標解除參照瑕疵。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過特定 Java Sandbox 限制。(CVE-2014-6587)

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在多個邊界檢查瑕疵。特製的字型檔可能允許未受信任的 Java 應用程式或 applet 洩漏部分 Java 虛擬機器記憶體。(CVE-2014-6585、CVE-2014-6591)

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案。(CVE-2015-0383)

CVE-2015-0383 問題是由 Red Hat 發現。

建議所有 java-1.8.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

OpenJDK 的 Hotspot 元件驗證來自類別檔案的位元組程式碼的方式，以及此元件產生位元組程式碼的程式碼之方式，存在多個瑕疵。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-6601、CVE-2015-0437)

在 OpenJDK 的 JAX-WS、Libraries 和 RMI 元件中，發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2015-0412、CVE-2014-6549、CVE-2015-0408)

在熱點記憶體回收行程處理虛設參照的方式中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器記憶體，且可能執行任意程式碼而繞過 Java Sandbox 限制。
(CVE-2015-0395)

在 OpenJDK 的 Security 元件中，DER (Distinguished Encoding Rules) 解碼器處理負長度值的方式有一個瑕疵。以 DER 編碼的特製輸入，解碼時可能造成 Java 應用程式進入無限迴圈。(CVE-2015-0410)

在加密區塊鏈結 (CBC) 模式下解密使用區塊加密法加密的訊息時，SSL 3.0 通訊協定處理填補位元組的方式有一個瑕疵。此瑕疵可能會允許攔截式 (MITM) 攻擊者使用 padding oracle 攻擊來解密部分密碼文字。(CVE-2014-3566)

據發現，在 OpenJDK 的 JSSE 元件中，SSL/TLS 實作無法正確檢查 SSL/TLS 連線交握期間是否收到了 ChangeCipherSpec。
MITM 攻擊者可能利用此瑕疵，在不啟用加密的狀態下強制建立連線。(CVE-2014-6593)

在 OpenJDK 的 Swing 元件中發現一個資訊洩漏瑕疵。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。(CVE-2015-0407)

在 OpenJDK 的 Libraries 元件中，MulticastSocket 實作存在一個 NULL 指標解除參照瑕疵。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過特定 Java Sandbox 限制。(CVE-2014-6587)

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在多個邊界檢查瑕疵。特製的字型檔可能允許未受信任的 Java 應用程式或 applet 洩漏部分 Java 虛擬機器記憶體。(CVE-2014-6585、CVE-2014-6591)

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案。(CVE-2015-0383)

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

遠端主機上安裝的 VMware vCenter Chargeback Manager 版本受到一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點影響。此弱點是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。
MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。
(CVE-2014-3566)

此外，下列隨附的 Java 元件中也存在多個不明弱點：

- 2D (CVE-2014-6585、CVE-2014-6591)

- Deployment (CVE-2015-0403、CVE-2015-0406)

- Hotspot (CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0437)

- Installation (CVE-2015-0421)

- JAX-WS (CVE-2015-0412)

- JSSE (CVE-2014-6593)

- Libraries (CVE-2014-6549、CVE-2014-6587、CVE-2015-0400)

- RMI (CVE-2015-0408)

- Security (CVE-2015-0410)

- Serviceability (CVE-2015-0413)

- Swing (CVE-2015-0407)

遠端主機受到 GLSA-201603-11 中所述弱點的影響 (Oracle JRE/JDK：多個弱點)

在 Oracle 的 JRE 和 JDK 中存在多個弱點。如需其他資訊，請檢閱參照的 CVE。
 影響：

遠端攻擊者可取得資訊的存取權、從遠端執行任意程式碼，並造成拒絕服務。
 因應措施：

目前尚無已知的因應措施。

在 java-1.8.0-openjdk 中發現多個弱點且已更正：

OpenJDK 的 Hotspot 元件驗證來自類別檔案的位元組程式碼的方式，以及此元件產生位元組程式碼的程式碼之方式，存在多個瑕疵。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制 (CVE-2014-6601、CVE-2015-0437)。

在 OpenJDK 的 JAX-WS、Libraries 和 RMI 元件中，發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2015-0412、CVE-2014-6549、CVE-2015-0408)。

在熱點記憶體回收行程處理虛設參照的方式中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器記憶體，且可能執行任意程式碼而繞過 Java Sandbox 限制 (CVE-2015-0395)。

在 OpenJDK 的 Security 元件中，DER (Distinguished Encoding Rules) 解碼器處理負長度值的方式有一個瑕疵。以 DER 編碼的特製輸入，解碼時可能造成 Java 應用程式進入無限迴圈 (CVE-2015-0410)。

在加密區塊鏈結 (CBC) 模式下解密使用區塊加密法加密的訊息時，SSL 3.0 通訊協定處理填補位元組的方式有一個瑕疵。此瑕疵可能允許攔截式 (MITM) 攻擊者使用 padding oracle 攻擊來解密部分密碼文字 (CVE-2014-3566)。

注意：此更新會依預設停用 SSL 3.0 來解決此問題。
如有需要，jdk.tls.disabledAlgorithms 安全性內容可用於重新啟用 SSL 3.0 支援。如需其他資訊，請參閱 Red Hat Bugzilla 錯誤，連結附於〈參照〉一節中。

據發現，在 OpenJDK 的 JSSE 元件中，SSL/TLS 實作無法正確檢查 SSL/TLS 連線交握期間是否收到了 ChangeCipherSpec。
MITM 攻擊者可能利用此瑕疵，在不啟用加密的狀態下強制建立連線 (CVE-2014-6593)。

在 OpenJDK 的 Swing 元件中發現一個資訊洩漏瑕疵。
未受信任的 Java 應用程式或 applet 可利用此瑕疵繞過特定 Java Sandbox 限制 (CVE-2015-0407)。

在 OpenJDK 的 Libraries 元件中，MulticastSocket 實作存在一個 NULL 指標解除參照瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵繞過特定 Java Sandbox 限制 (CVE-2014-6587)。

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在多個邊界檢查瑕疵。特製的字型檔可能允許未受信任的 Java 應用程式或 applet 洩漏部分 Java 虛擬機器記憶體 (CVE-2014-6585、CVE-2014-6591)。

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案 (CVE-2015-0383)。

更新版套件會提供這些安全性問題的解決方案。

遠端 Windows 主機上安裝的 VMware vCenter Operations Manager 版本隨附的 Java JRE 版本比 1.7.0_76-b13 (即 7.0.760.13) 舊。因而會受到一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點影響。此弱點是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。(CVE-2014-3566)

此外，下列隨附的 Java 元件中也存在多個不明弱點：

- 2D (CVE-2014-6585、CVE-2014-6591)

- Deployment (CVE-2015-0403、CVE-2015-0406)

- Hotspot (CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0437)

- Installation (CVE-2015-0421)

- JAX-WS (CVE-2015-0412)

- JSSE (CVE-2014-6593)

- Libraries (CVE-2014-6549、CVE-2014-6587、CVE-2015-0400)

- RMI (CVE-2015-0408)

- Security (CVE-2015-0410)

- Serviceability (CVE-2015-0413)

- Swing (CVE-2015-0407)

VMware 已經發佈修補程式，針對附於應用裝置的 JRE 進行更新。

遠端 Windows 主機上安裝的 VMware Horizon View 版本是比 5.3.4 舊的 5.x 版，或比 6.1 舊的 6.x 版。因此受到以下弱點影響：

- 攔截式 (MitM) 資訊洩漏弱點 (又稱 POODLE) 是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。
 (CVE-2014-3566)

- 隨附的 Flex BlazeDS 元件中存在一個 XML 外部實體 (XXE) 插入弱點，是因設定錯誤的 XML 剖析器允許接受來自未受信任來源的外部 XML 實體所致。未經驗證的遠端攻擊者可惡意利用此弱點，透過特製的 AMF 訊息來取得敏感資訊的存取權。(CVE-2015-3269)

- 隨附的 Adobe ColdFusion 與 LiveCycle Data Services 元件中存在一個與使用者和伺服器之間要求處理相關的瑕疵。遠端攻擊者可加以惡意利用，透過特製要求，繞過存取限制 (例如主機或網路 ACL)，對內部網路執行連接埠掃描、模擬內部主機，或可能叫用其他通訊協定 (例如 Gopher、TFTP)。
 (CVE-2015-5255)

此外，下列隨附的 Java 元件中也存在多個不明弱點：

- 2D (CVE-2014-6585、CVE-2014-6591)

- Deployment (CVE-2015-0403、CVE-2015-0406)

- Hotspot (CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0437)

- Installation (CVE-2015-0421)

- JAX-WS (CVE-2015-0412)

- JSSE (CVE-2014-6593)

- Libraries (CVE-2014-6549、CVE-2014-6587、CVE-2015-0400)

- RMI (CVE-2015-0408)

- Security (CVE-2015-0410)

- Serviceability (CVE-2015-0413)

- Swing (CVE-2015-0407)

OpenJDK 的 Hotspot 元件驗證來自類別檔案的位元組程式碼的方式，以及此元件產生位元組程式碼的程式碼之方式，存在多個瑕疵。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-6601、CVE-2015-0437)

在 OpenJDK 的 JAX-WS、Libraries 和 RMI 元件中，發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2015-0412、CVE-2014-6549、CVE-2015-0408)

在熱點記憶體回收行程處理虛設參照的方式中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器記憶體，且可能執行任意程式碼而繞過 Java Sandbox 限制。
(CVE-2015-0395)

在 OpenJDK 的 Security 元件中，DER (Distinguished Encoding Rules) 解碼器處理負長度值的方式有一個瑕疵。以 DER 編碼的特製輸入，解碼時可能造成 Java 應用程式進入無限迴圈。(CVE-2015-0410)

在加密區塊鏈結 (CBC) 模式下解密使用區塊加密法加密的訊息時，SSL 3.0 通訊協定處理填補位元組的方式有一個瑕疵。此瑕疵可能允許攔截式 (MITM) 攻擊者使用 padding oracle 攻擊來解密部分密碼文字。(CVE-2014-3566)

注意：此更新會依預設停用 SSL 3.0 來解決此問題。
如有需要，jdk.tls.disabledAlgorithms 安全性內容可用於重新啟用 SSL 3.0 支援。如需其他資訊，請參閱 Red Hat Bugzilla 錯誤，連結附於〈參照〉一節中。

據發現，在 OpenJDK 的 JSSE 元件中，SSL/TLS 實作無法正確檢查 SSL/TLS 連線交握期間是否收到了 ChangeCipherSpec。
MITM 攻擊者可能利用此瑕疵，在不啟用加密的狀態下強制建立連線。(CVE-2014-6593)

在 OpenJDK 的 Swing 元件中發現一個資訊洩漏瑕疵。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。(CVE-2015-0407)

在 OpenJDK 的 Libraries 元件中，MulticastSocket 實作存在一個 NULL 指標解除參照瑕疵。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過特定 Java Sandbox 限制。(CVE-2014-6587)

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在多個邊界檢查瑕疵。特製的字型檔可能允許未受信任的 Java 應用程式或 applet 洩漏部分 Java 虛擬機器記憶體。(CVE-2014-6585、CVE-2014-6591)

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案。(CVE-2015-0383)

現已提供適用於 Oracle Java for Red Hat Enterprise Linux 6 的更新版 java-1.8.0-oracle 套件，可修正數個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Oracle Java SE 8 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。

此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的數個弱點。如需這些瑕疵的詳細資訊，請參閱 Oracle Java SE 重要修補程式更新公告頁面的＜參照＞一節內容。
(CVE-2014-3566、CVE-2014-6549、CVE-2014-6585、CVE-2014-6587、CVE-2014-6591、CVE-2014-6593、CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0403、CVE-2015-0406、CVE-2015-0407、CVE-2015-0408、CVE-2015-0410、CVE-2015-0412、CVE-2015-0413、CVE-2015-0421、CVE-2015-0437)

CVE-2015-0383 問題是由 Red Hat 發現。

注意：透過此更新，Oracle Java SE 現在停用了 SSL 3.0 通訊協定，藉此解決 CVE-2014-3566 問題 (亦稱為 POODLE)。
請參閱 Red Hat Bugzilla 錯誤 (連結附於〈參照〉一節中)，取得有需要時重新啟用 SSL 3.0 支援的操作指示。

建議所有 java-1.8.0-oracle 使用者皆升級至這些更新版套件，其提供 Oracle Java 8 Update 31 並可解決這些問題。必須重新啟動 Oracle Java 所有執行中的執行個體，此更新才會生效。

遠端 Linux 主機上安裝的 VMware vCenter Operations Manager 版本具有比 1.7.0_76-b13 (即 7.0.760.13) 舊的隨附 Java JRE 版本。因而會受到一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點影響。此弱點是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。(CVE-2014-3566)

此外，下列隨附的 Java 元件中也存在多個不明弱點：

- 2D (CVE-2014-6585、CVE-2014-6591)

- Deployment (CVE-2015-0403、CVE-2015-0406)

- Hotspot (CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0437)

- Installation (CVE-2015-0421)

- JAX-WS (CVE-2015-0412)

- JSSE (CVE-2014-6593)

- Libraries (CVE-2014-6549、CVE-2014-6587、CVE-2015-0400)

- RMI (CVE-2015-0408)

- Security (CVE-2015-0410)

- Serviceability (CVE-2015-0413)

- Swing (CVE-2015-0407)

VMware 已經發佈修補程式，針對附於應用裝置的 JRE 進行更新。

遠端主機上安裝的 VMware vCenter Server 為 5.0u3d 之前的 5.0 版、5.1u3a 之前的 5.1 版、5.5u2e 之前的 5.5 版，或是 6.0.0a 之前的 6.0 版。因此會受到一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點影響；此問題與隨附的 JRE 元件有關。此弱點是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。

此外，下列隨附的 JRE 元件中也存在多個不明弱點：

- 2D (CVE-2014-6585、CVE-2014-6591)

- Deployment (CVE-2015-0403、CVE-2015-0406)

- Hotspot (CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0437)

- Installation (CVE-2015-0421)

- JAX-WS (CVE-2015-0412)

- JSSE (CVE-2014-6593)

- Libraries (CVE-2014-6549、CVE-2014-6587、CVE-2015-0400)

- RMI (CVE-2015-0408)

- Security (CVE-2015-0410)

- Serviceability (CVE-2015-0413)

- Swing (CVE-2015-0407)

ID	名稱	產品	系列	已發布	已更新	嚴重性
82706	VMware vCenter Operations Management vApp JRE Update 1.7.0_76-b13 (VMSA-2015-0003) (POODLE)	Nessus	Misc.	2015/4/10	2018/11/15	critical
80908	Oracle Java SE 多個弱點 (2015 年 1 月 CPU) (POODLE)	Nessus	Windows	2015/1/22	2022/4/11	critical
82742	VMware Workspace Portal 多個 Java 弱點 (VMSA-2015-0003) (POODLE)	Nessus	Misc.	2015/4/13	2018/11/15	critical
81419	SuSE 11.3 安全性更新：java-1_7_0-openjdk (SAT 修補程式編號 10286)	Nessus	SuSE Local Security Checks	2015/2/20	2023/6/28	critical
80882	RHEL 6 : java-1.8.0-openjdk (RHSA-2015:0069) (POODLE)	Nessus	Red Hat Local Security Checks	2015/1/21	2021/2/5	low
80901	Oracle Linux 6：java-1.8.0-openjdk (ELSA-2015-0069) (POODLE)	Nessus	Oracle Linux Local Security Checks	2015/1/22	2021/1/14	low
80904	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 java-1.8.0-openjdk (POODLE)	Nessus	Scientific Linux Local Security Checks	2015/1/22	2023/6/28	low
82899	VMware vCenter Chargeback Manager 多個 Java 弱點 (VMSA-2015-0003) (POODLE)	Nessus	Windows	2015/4/20	2018/11/15	critical
89904	GLSA-201603-11：Oracle JRE/JDK：多個弱點 (Logjam)	Nessus	Gentoo Local Security Checks	2016/3/14	2022/12/5	low
82684	Mandriva Linux 安全性公告：java-1.8.0-openjdk (MDVSA-2015:198)	Nessus	Mandriva Local Security Checks	2015/4/10	2023/6/28	critical
82707	VMware vCenter Operations Management Windows JRE Update 1.7.0_76-b13 (VMSA-2015-0003) (POODLE)	Nessus	Misc.	2015/4/10	2021/10/25	critical
82741	VMware Horizon View 多個弱點 (VMSA-2015-0003) (VMSA-2015-0008) (POODLE)	Nessus	Windows	2015/4/13	2018/11/15	critical
80870	CentOS 6：java-1.8.0-openjdk (CESA-2015:0069) (POODLE)	Nessus	CentOS Local Security Checks	2015/1/21	2021/1/4	low
80922	Amazon Linux AMI : java-1.8.0-openjdk (ALAS-2015-472) (POODLE)	Nessus	Amazon Linux Local Security Checks	2015/1/23	2023/6/28	low
80932	RHEL 6 : java-1.8.0-oracle (RHSA-2015:0080) (POODLE)	Nessus	Red Hat Local Security Checks	2015/1/23	2019/10/24	medium
82705	VMware vCenter Operations Management Linux JRE 更新 1.7.0_76-b13 (VMSA-2015-0003) (POODLE)	Nessus	Misc.	2015/4/10	2021/10/25	critical
83186	VMware vCenter Server 多個 Java 弱點 (VMSA-2015-0003) (POODLE)	Nessus	Misc.	2015/5/1	2018/11/15	critical
80907	Oracle Java SE 多個弱點 (2015 年 1 月 CPU) (Unix) (POODLE)	Nessus	Misc.	2015/1/22	2024/4/19	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

low

low

low

critical

low

critical

critical

critical

low

low

medium

critical

critical

critical