遠端 AIX 主機上安裝的 Java SDK 版本受到多個弱點影響：

- Global Security Kit (GSKit) 中有一個瑕疵，這是因為不當限制 TLS 狀態轉換所致。攔截式攻擊者可惡意利用此瑕疵，將工作階段的安全性降級，藉此使用 EXPORT_RSA 密碼。
 這讓攻擊者更容易破解加密，並監控或或竄改加密的資料流。(CVE-2015-0138)

- 存在一個不明瑕疵，會讓攻擊者得以使用提升的權限來執行安全性管理員中執行的程式碼。(CVE-2015-0192)

- 存在一個稱為 FREAK (RSA-EXPORT 金鑰的分解攻擊) 的安全性功能繞過弱點，這是因為支援具有小於或等於 512 位元金鑰的弱式 EXPORT_RSA 加密套件所致。攔截式攻擊者可降級 SSL/TLS 連線以使用 EXPORT_RSA 加密套件，該套件可在短時間內遭到分解，進而允許攻擊者攔截和解密流量。(CVE-2015-0204)

- 多個 Java 子元件中存有多個不明弱點，包括 2D、Beans、Deployment、JCE、JSSE 和多種工具。(CVE-2015-0458、CVE-2015-0459、CVE-2015-0469、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0486、CVE-2015-0488、CVE-2015-0491)

- 存在一個不明瑕疵，會讓遠端攻擊者得以繞過權限檢查，並取得敏感資訊的存取權。(CVE-2015-1914)

- 存在一個不明瑕疵，這是因為 Socket Extension Provider 對 TLS 和 SSL 連線的處理所致。遠端攻擊者可加以惡意利用，進而引發拒絕服務。
 (CVE-2015-1916)

- 存在一個稱為 Bar Mitzvah 的安全性功能繞過弱點，這是因為 RC4 加密演算法在初始化階段不當結合狀態資料和金鑰資料所導致。攔截式攻擊者可惡意利用這點，透過使用 LSB 值的暴力密碼破解攻擊，將流量解密。(CVE-2015-2808)

遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 8 Update 45、7 Update 79、6 Update 95、或 5 Update 85 舊。因此受到下列元件中的安全性弱點影響：

- 2D
 - Beans
 - Deployment
 - Hotspot
 - JavaFX
 - JCE
 - JSSE
 - Tools

OpenJDK 已更新至 jdk8u45-b14，可修正安全性問題和錯誤。

下列弱點已修正：

- CVE-2015-0458：Deployment：未經驗證的遠端攻擊者可透過多重通訊協定執行任意程式碼。

- CVE-2015-0459：2D：未經驗證的遠端攻擊者可透過多重通訊協定執行任意程式碼。

- CVE-2015-0460：Hotspot：未經驗證的遠端攻擊者可透過多重通訊協定執行任意程式碼。

- CVE-2015-0469：2D：未經驗證的遠端攻擊者可透過多重通訊協定執行任意程式碼。

- CVE-2015-0470：Hotspot：未經驗證的遠端攻擊者可透過多重通訊協定更新、插入或刪除部分可供存取之 JAVA 資料

- CVE-2015-0477：Beans：未經驗證的遠端攻擊者可透過多重通訊協定更新、插入或刪除部分可供存取之 JAVA 資料

- CVE-2015-0478：JCE：未經驗證的遠端攻擊者可透過多重通訊協定讀取部分可供存取之 JAVA 資料

- CVE-2015-0480：Tools：未經驗證的遠端攻擊者可透過多重通訊協定更新、插入或刪除部分可供存取之 JAVA 資料，並且造成部分拒絕服務 (部分 DOS)

- CVE-2015-0484：JavaFX：未經驗證的遠端攻擊者可透過多重通訊協定讀取、更新、插入或刪除部分可供存取之 Java 資料，並且造成部分拒絕服務 (部分 DOS)。

- CVE-2015-0486：Deployment：未經驗證的遠端攻擊者可透過多重通訊協定讀取部分可供存取之 JAVA 資料

- CVE-2015-0488：JSSE：未經驗證的遠端攻擊者可造成部分拒絕服務 (部分 DOS)。

- CVE-2015-0491：2D：未經驗證的遠端攻擊者可透過多重通訊協定執行任意程式碼。

- CVE-2015-0492：JavaFX：未經驗證的遠端攻擊者可透過多重通訊協定執行任意程式碼。

現已提供適用於 Oracle Java for Red Hat Enterprise Linux 6 和 7 的更新版 java-1.8.0-oracle 套件，可修正數個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Oracle Java SE 8 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。

此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的數個弱點。如需這些瑕疵的詳細資訊，請參閱 Oracle Java SE 重要修補程式更新公告頁面的＜參照＞一節內容。
(CVE-2005-1080、CVE-2015-0458、CVE-2015-0459、CVE-2015-0460、CVE-2015-0469、CVE-2015-0470、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0484、CVE-2015-0486、CVE-2015-0488、CVE-2015-0491、CVE-2015-0492)

CVE-2015-0478 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

建議所有 java-1.8.0-oracle 使用者皆升級至這些更新版套件，其提供 Oracle Java 8 Update 45 並可解決這些問題。必須重新啟動 Oracle Java 所有執行中的執行個體，此更新才會生效。

遠端主機受到 GLSA-201603-11 中所述弱點的影響 (Oracle JRE/JDK：多個弱點)

在 Oracle 的 JRE 和 JDK 中存在多個弱點。如需其他資訊，請檢閱參照的 CVE。
 影響：

遠端攻擊者可取得資訊的存取權、從遠端執行任意程式碼，並造成拒絕服務。
 因應措施：

目前尚無已知的因應措施。

遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 8 Update 45、7 Update 79、6 Update 95、或 5 Update 85 舊。因此受到下列元件中的安全性弱點影響：

  - 2D
  - Beans
  - Deployment
  - Hotspot
  - JavaFX
  - JCE
  - JSSE
  - Tools

ID	名稱	產品	系列	已發布	已更新	嚴重性
84087	AIX Java 公告：java_april2015_advisory.asc (Bar Mitzvah) (FREAK)	Nessus	AIX Local Security Checks	2015/6/10	2023/4/21	critical
82820	Oracle Java SE 多個弱點 (2015 年 4 月 CPU) (FREAK)	Nessus	Windows	2015/4/16	2022/4/11	critical
83107	openSUSE 安全性更新：java-1_8_0-openjdk (openSUSE-2015-332)	Nessus	SuSE Local Security Checks	2015/4/28	2021/1/19	critical
82897	RHEL 6 / 7：java-1.8.0-oracle (RHSA-2015:0854)	Nessus	Red Hat Local Security Checks	2015/4/20	2019/10/24	critical
89904	GLSA-201603-11：Oracle JRE/JDK：多個弱點 (Logjam)	Nessus	Gentoo Local Security Checks	2016/3/14	2022/12/5	low
82821	Oracle Java SE 多個弱點 (2015 年 4 月 CPU) (Unix) (FREAK)	Nessus	Misc.	2015/4/16	2024/4/19	high

偵測

搜尋 Plugin

critical

critical

critical

critical

low

high