遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 8 Update 51、7 Update 85 或 6 Update 101 舊。因此受到下列元件中的安全性弱點影響：

- 2D
 - CORBA
 - Deployment
 - Hotspot
 - Install
 - JCE
 - JMX
 - JNDI
 - JSSE
 - Libraries
 - RMI
 - Security

現已提供適用於 Red Hat Enterprise Linux 6 和 7 的更新版 java-1.8.0-openjdk 套件，可修正多個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.8.0-openjdk 套件提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java Software Development Kit。

在 OpenJDK 的 2D、CORBA、JMX、Libraries 和 RMI 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733)

在 OpenJDK 的 Libraries 元件驗證線上憑證狀態通訊協定 (OCSP) 回應的方式中發現一個瑕疵。由於未指定 nextUpdate 日期的 OCSP 回應有無限的有效性，因此會被錯誤處理，可能導致已撤銷的 X.509 憑證被解譯為有效。(CVE-2015-4748)

據發現，OpenJDK 中的 JCE 元件在許多情況下無法使用常數時間比較。攻擊者可能利用這些瑕疵，藉著這些非常數時間比較來測量作業所需時間，從而洩漏敏感資訊。(CVE-2015-2601)

據發現，OpenJDK Security 元件中的 GCM (Galois 計數器模式) 實作無法正確執行 null 檢查。當應用程式使用 GCM 模式中的區塊加密來執行加密時，這可能導致 Java 虛擬機器當機。
(CVE-2015-2659)

在 RC4 加密演算法中發現一個瑕疵。當針對 RC4 加密使用特定的金鑰時，攻擊者可在不知道加密金鑰的情況下，從加密文字中取得純文字的部分。(CVE-2015-2808)

注意：透過此更新，現在 OpenJDK 會依預設停用 RC4 TLS/SSL 加密套件，藉此解決 CVE-2015-2808 問題。如需此變更的其他詳細資訊，請參閱〈參照〉一節中的 Red Hat Bugzilla 錯誤 1207101 連結。

在 TLS 通訊協定撰寫 Diffie-Hellman (DH) 金鑰交換的方式中發現一個瑕疵。攔截式攻擊者可利用此瑕疵，在金鑰交換過程中強制使用弱式 512 位元匯出級金鑰，讓攻擊者得以解密所有流量。
(CVE-2015-4000)

注意：此更新會強制 OpenJDK 中的 TLS/SSL 用戶端實作拒絕低於 768 位元的 DH 金鑰大小，如此可防止工作階段降級為匯出級金鑰。如需此變更的其他詳細資訊，請參閱〈參照〉一節中的 Red Hat Bugzilla 錯誤 1223211 連結。

據發現，OpenJDK 中的 JNDI 元件並未正確處理 DNS 解析。如果攻擊者可以觸發這類 DNS 錯誤，即可導致使用 JNDI 的 Java 應用程式消耗記憶體和 CPU 時間，並且可能封鎖進一步的 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 元件中發現多個資訊洩漏瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2015-2621、CVE-2015-2632)

在 OpenJDK 的 JSSE 元件與透過 IP 位址識別的主機建立 TLS/SSL 連線時該元件執行 X.509 憑證身分識別的方式中發現一個瑕疵。在某些情況下，如果是針對 IP 位址所解析的主機名稱發出憑證，而不是針對 IP 位址發出憑證，則該憑證會被接受，即認為是有效憑證。
(CVE-2015-2625)

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案。注意：此問題原本已在 CVE-2015-0383 中修正，但是該修正在 RHSA-2015:0809 公告中迴歸。(CVE-2015-3149)

建議所有 java-1.8.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

根據其自我報告的版本號碼，遠端裝置上執行的 Junos Space 版本比 15.1R2 舊。因此，會受到多個弱點影響：

- Oracle Java Runtime 的 JCE 元件中存在一個瑕疵，這是因為使用非常數時間比較的多種密碼編譯作業所導致。未經驗證的遠端攻擊者可惡意利用此瑕疵，透過定時攻擊洩漏潛在的敏感資訊。
 (CVE-2015-2601)

- Oracle Java Runtime 的 JCE 元件之 ECDH_Derive() 函式中存在一個瑕疵，這是因為執行 ECDH 金鑰衍生時遺漏 EC 參數驗證所導致。遠端攻擊者可惡意利用此瑕疵洩漏潛在的敏感資訊。
 (CVE-2015-2613)

- Oracle Java Runtime 的 JSSE 元件中存在一個與執行 X.509 憑證身分檢查有關的瑕疵，其允許遠端攻擊者洩漏潛在的敏感資訊。(CVE-2015-2625)

- 在 GCM 模式下使用區塊加密來執行加密時，Oracle Java Runtime 的 Security 元件中存在一個與 GCM (Galois Counter Mode) 實作有關的 NULL 指標解除參照瑕疵。
 未經驗證的遠端攻擊者可加以惡意利用，進而引發拒絕服務情形。(CVE-2015-2659)

- 存在一個稱為 Bar Mitzvah 的安全性功能繞過弱點，這是因為 RC4 加密演算法在初始化階段不當結合狀態資料和金鑰資料所導致。攔截式攻擊者可惡意利用這點，透過使用 LSB 值的暴力密碼破解攻擊，將流量解密。(CVE-2015-2808)

- 存在一個稱為 Logjam 的攔截式弱點，這是因為 SSL/TLS 通訊協定中存在一個瑕疵。遠端攻擊者可惡意利用此瑕疵，將使用暫時 Diffie-Hellman 金鑰交換的連線降級為 512 位元匯出級密碼編譯。(CVE-2015-4000)

- 處理未指定「nextUpdate」日期的線上憑證狀態通訊協定 (OCSP) 回應時，Oracle Java Runtime 的 Security 元件中存在一個瑕疵。遠端攻擊者可惡意利用此瑕疵，造成系統接受已撤銷的 X.509 憑證。
 (CVE-2015-4748)

- Oracle Java Runtime 的 JNDI 元件之 DnsClient::query() 函式中存在一個瑕疵，這是因為 DnsClient 例外狀況處理失敗而釋放要求資訊所導致。未經驗證的遠端攻擊者可加以惡意利用，進而引發拒絕服務情形。
 (CVE-2015-4749)

現已提供適用於 Oracle Java for Red Hat Enterprise Linux 6 和 7 的更新版 java-1.8.0-oracle 套件，可修正數個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Oracle Java SE 8 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。

此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的數個弱點。如需這些瑕疵的詳細資訊，請參閱 Oracle Java SE 重要修補程式更新公告頁面的＜參照＞一節內容。
(CVE-2015-2590、CVE-2015-2601、CVE-2015-2613、CVE-2015-2619、CVE-2015-2621、CVE-2015-2625、CVE-2015-2627、CVE-2015-2628、CVE-2015-2632、CVE-2015-2637、CVE-2015-2638、CVE-2015-2659、CVE-2015-2664、CVE-2015-2808、CVE-2015-4000、CVE-2015-4729、CVE-2015-4731、CVE-2015-4732、CVE-2015-4733、CVE-2015-4736、CVE-2015-4748、CVE-2015-4749、CVE-2015-4760)

注意：透過此更新，現在 Oracle JDK 預設會停用 RC4 TLS/SSL 加密套件，以解決 CVE-2015-2808 問題。如需此變更的其他詳細資訊，請參閱〈參照〉一節中的 Red Hat Bugzilla 錯誤 1207101 連結。

注意：此更新會強制 Oracle JDK 中的 TLS/SSL 用戶端實作拒絕低於 768 位元的 DH 金鑰大小，以解決 CVE-2015-4000 問題。如需此變更的其他詳細資訊，請參閱〈參照〉一節中的 Red Hat Bugzilla 錯誤 1223211 連結。

建議所有 java-1.8.0-oracle 使用者皆升級至這些更新版套件，其提供 Oracle Java 8 Update 51 並可解決這些問題。必須重新啟動 Oracle Java 所有執行中的執行個體，此更新才會生效。

OpenJDK 已更新至 2.6.1 - OpenJDK 8u51，以修正安全性問題和錯誤。

下列弱點已修正：

- CVE-2015-2590：Libraries 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2597：Install 元件中存在一個可輕易惡意利用的弱點，需要登入作業系統。
 若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2601：JCE 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2613：JCE 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java SE、Java SE Embedded 資料的子集。

- CVE-2015-2619：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2621：JMX 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2625：JSSE 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 SSL/TLS 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2627：Install 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。
 若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2628：CORBA 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2632：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2637：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地讀取存取可供存取之 Java 資料的子集。

- CVE-2015-2638：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2659：Security 元件中存有一個可輕易遭到利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權即可造成部分拒絕服務 (部分 DOS)。

- CVE-2015-2664：Deployment 元件中存有一個難以惡意利用的弱點，需要登入作業系統。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-2808：JSSE 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 SSL/TLS 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地更新、插入或刪除某些可供存取之 Java 資料的存取權，以及可供存取之 Java 資料的子集讀取存取權。

- CVE-2015-4000：JSSE 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 SSL/TLS 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權地更新、插入或刪除某些可供存取之 Java 資料的存取權，以及可供存取之 Java Embedded 資料的子集讀取存取權。

- CVE-2015-4729：Deployment 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。
 若成功攻擊此弱點，可能導致未經授權地更新、插入或刪除某些可供存取之 Java SE 資料的存取權，以及可供存取之 Java SE 資料的子集讀取存取權。

- CVE-2015-4731：JMX 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4732：Libraries 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4733：RMI 元件中存有一個容易遭惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4736：Deployment 元件中存有一個難以惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4748：Security 元件中存有一個非常難以惡意利用的弱點，該弱點允許透過 OCSP 成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

- CVE-2015-4749：JNDI 元件中存有一個難以惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權即可造成部分拒絕服務 (部分 DOS)。

- CVE-2015-4760：2D 元件中存有一個可輕易惡意利用的弱點，該弱點允許透過多個通訊協定成功發動未經驗證的網路攻擊。若成功攻擊此弱點，可能導致未經授權的作業系統接管，包括任意程式碼執行。

來自 Red Hat 安全性公告 2015:1228：

現已提供適用於 Red Hat Enterprise Linux 6 和 7 的更新版 java-1.8.0-openjdk 套件，可修正多個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.8.0-openjdk 套件提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java Software Development Kit。

在 OpenJDK 的 2D、CORBA、JMX、Libraries 和 RMI 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733)

在 OpenJDK 的 Libraries 元件驗證線上憑證狀態通訊協定 (OCSP) 回應的方式中發現一個瑕疵。由於未指定 nextUpdate 日期的 OCSP 回應有無限的有效性，因此會被錯誤處理，可能導致已撤銷的 X.509 憑證被解譯為有效。(CVE-2015-4748)

據發現，OpenJDK 中的 JCE 元件在許多情況下無法使用常數時間比較。攻擊者可能利用這些瑕疵，藉著這些非常數時間比較來測量作業所需時間，從而洩漏敏感資訊。(CVE-2015-2601)

據發現，OpenJDK Security 元件中的 GCM (Galois 計數器模式) 實作無法正確執行 null 檢查。當應用程式使用 GCM 模式中的區塊加密來執行加密時，這可能導致 Java 虛擬機器當機。
(CVE-2015-2659)

在 RC4 加密演算法中發現一個瑕疵。當針對 RC4 加密使用特定的金鑰時，攻擊者可在不知道加密金鑰的情況下，從加密文字中取得純文字的部分。(CVE-2015-2808)

注意：透過此更新，現在 OpenJDK 會依預設停用 RC4 TLS/SSL 加密套件，藉此解決 CVE-2015-2808 問題。如需此變更的其他詳細資訊，請參閱〈參照〉一節中的 Red Hat Bugzilla 錯誤 1207101 連結。

在 TLS 通訊協定撰寫 Diffie-Hellman (DH) 金鑰交換的方式中發現一個瑕疵。攔截式攻擊者可利用此瑕疵，在金鑰交換過程中強制使用弱式 512 位元匯出級金鑰，讓攻擊者得以解密所有流量。
(CVE-2015-4000)

注意：此更新會強制 OpenJDK 中的 TLS/SSL 用戶端實作拒絕低於 768 位元的 DH 金鑰大小，如此可防止工作階段降級為匯出級金鑰。如需此變更的其他詳細資訊，請參閱〈參照〉一節中的 Red Hat Bugzilla 錯誤 1223211 連結。

據發現，OpenJDK 中的 JNDI 元件並未正確處理 DNS 解析。如果攻擊者可以觸發這類 DNS 錯誤，即可導致使用 JNDI 的 Java 應用程式消耗記憶體和 CPU 時間，並且可能封鎖進一步的 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 元件中發現多個資訊洩漏瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2015-2621、CVE-2015-2632)

在 OpenJDK 的 JSSE 元件與透過 IP 位址識別的主機建立 TLS/SSL 連線時該元件執行 X.509 憑證身分識別的方式中發現一個瑕疵。在某些情況下，如果是針對 IP 位址所解析的主機名稱發出憑證，而不是針對 IP 位址發出憑證，則該憑證會被接受，即認為是有效憑證。
(CVE-2015-2625)

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案。注意：此問題原本已在 CVE-2015-0383 中修正，但是該修正在 RHSA-2015:0809 公告中迴歸。(CVE-2015-3149)

建議所有 java-1.8.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

在 OpenJDK 的 2D、CORBA、JMX、Libraries 和 RMI 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733)

在 OpenJDK 的 Libraries 元件驗證線上憑證狀態通訊協定 (OCSP) 回應的方式中發現一個瑕疵。由於未指定 nextUpdate 日期的 OCSP 回應有無限的有效性，因此會被錯誤處理，可能導致已撤銷的 X.509 憑證被解譯為有效。(CVE-2015-4748)

據發現，OpenJDK 中的 JCE 元件在許多情況下無法使用常數時間比較。攻擊者可能利用這些瑕疵，藉著這些非常數時間比較來測量作業所需時間，從而洩漏敏感資訊。(CVE-2015-2601)

據發現，OpenJDK Security 元件中的 GCM (Galois 計數器模式) 實作無法正確執行 null 檢查。當應用程式使用 GCM 模式中的區塊加密來執行加密時，這可能導致 Java 虛擬機器當機。
(CVE-2015-2659)

在 RC4 加密演算法中發現一個瑕疵。當針對 RC4 加密使用特定的金鑰時，攻擊者可在不知道加密金鑰的情況下，從加密文字中取得純文字的部分。(CVE-2015-2808)

在 TLS 通訊協定撰寫 Diffie-Hellman (DH) 金鑰交換的方式中發現一個瑕疵。攔截式攻擊者可利用此瑕疵，在金鑰交換過程中強制使用弱式 512 位元匯出級金鑰，讓攻擊者得以解密所有流量。
(CVE-2015-4000)

據發現，OpenJDK 中的 JNDI 元件並未正確處理 DNS 解析。如果攻擊者可以觸發這類 DNS 錯誤，即可導致使用 JNDI 的 Java 應用程式消耗記憶體和 CPU 時間，並且可能封鎖進一步的 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 元件中發現多個資訊洩漏瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2015-2621、CVE-2015-2632)

在 OpenJDK 的 JSSE 元件與透過 IP 位址識別的主機建立 TLS/SSL 連線時該元件執行 X.509 憑證身分識別的方式中發現一個瑕疵。在某些情況下，如果是針對 IP 位址所解析的主機名稱發出憑證，而不是針對 IP 位址發出憑證，則該憑證會被接受，即認為是有效憑證。
(CVE-2015-2625)

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案。注意：此問題原本已在 CVE-2015-0383 中修正，但是該修正在 SLSA-2015:0809 公告中迴歸。(CVE-2015-3149)

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

在 OpenJDK 的 2D、CORBA、JMX、Libraries 和 RMI 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733)

在 OpenJDK 的 Libraries 元件驗證線上憑證狀態通訊協定 (OCSP) 回應的方式中發現一個瑕疵。由於未指定 nextUpdate 日期的 OCSP 回應有無限的有效性，因此會被錯誤處理，可能導致已撤銷的 X.509 憑證被解譯為有效。(CVE-2015-4748)

據發現，OpenJDK 中的 JCE 元件在許多情況下無法使用常數時間比較。攻擊者可能利用這些瑕疵，藉著這些非常數時間比較來測量作業所需時間，從而洩漏敏感資訊。(CVE-2015-2601)

據發現，OpenJDK Security 元件中的 GCM (Galois 計數器模式) 實作無法正確執行 null 檢查。當應用程式使用 GCM 模式中的區塊加密來執行加密時，這可能導致 Java 虛擬機器當機。
(CVE-2015-2659)

在 RC4 加密演算法中發現一個瑕疵。當針對 RC4 加密使用特定的金鑰時，攻擊者可在不知道加密金鑰的情況下，從加密文字中取得純文字的部分。(CVE-2015-2808)

請注意，使用此更新後，現在 OpenJDK 預設會停用 RC4 TLS/SSL 加密套件，以解決 CVE-2015-2808 問題。

在 TLS 通訊協定撰寫 Diffie-Hellman (DH) 金鑰交換的方式中發現一個瑕疵。攔截式攻擊者可利用此瑕疵，在金鑰交換過程中強制使用弱式 512 位元匯出級金鑰，讓攻擊者得以解密所有流量。
(CVE-2015-4000)

請注意，此更新會強制 OpenJDK 中的 TLS/SSL 用戶端實作拒絕低於 768 位元的 DH 金鑰大小，如此可防止工作階段降級為匯出級金鑰。

據發現，OpenJDK 中的 JNDI 元件並未正確處理 DNS 解析。如果攻擊者可以觸發這類 DNS 錯誤，即可導致使用 JNDI 的 Java 應用程式消耗記憶體和 CPU 時間，並且可能封鎖進一步的 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 元件中發現多個資訊洩漏瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2015-2621、CVE-2015-2632)

在 OpenJDK 的 JSSE 元件與透過 IP 位址識別的主機建立 TLS/SSL 連線時該元件執行 X.509 憑證身分識別的方式中發現一個瑕疵。在某些情況下，如果是針對 IP 位址所解析的主機名稱發出憑證，而不是針對 IP 位址發出憑證，則該憑證會被接受，即認為是有效憑證。
(CVE-2015-2625)

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案。

遠端主機受到 GLSA-201603-11 中所述弱點的影響 (Oracle JRE/JDK：多個弱點)

在 Oracle 的 JRE 和 JDK 中存在多個弱點。如需其他資訊，請檢閱參照的 CVE。
 影響：

遠端攻擊者可取得資訊的存取權、從遠端執行任意程式碼，並造成拒絕服務。
 因應措施：

目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
84824	Oracle Java SE 多個弱點 (2015 年 7 月 CPU) (Bar Mitzvah)	Nessus	Windows	2015/7/17	2022/12/5	critical
84770	CentOS 6 / 7 : java-1.8.0-openjdk (CESA-2015:1228) (Bar Mitzvah) (Logjam)	Nessus	CentOS Local Security Checks	2015/7/16	2023/4/25	medium
91779	Juniper Junos Space < 15.1R2 多個弱點 (JSA10727) (Bar Mitzvah) (Logjam)	Nessus	Junos Local Security Checks	2016/6/23	2022/12/5	high
84787	RHEL 6 / 7 : java-1.8.0-openjdk (RHSA-2015:1228) (Bar Mitzvah) (Logjam)	Nessus	Red Hat Local Security Checks	2015/7/16	2023/4/25	medium
84871	RHEL 6 / 7：java-1.8.0-oracle (RHSA-2015:1241) (Bar Mitzvah) (Logjam)	Nessus	Red Hat Local Security Checks	2015/7/20	2023/4/25	low
85002	openSUSE 安全性更新：java-1_8_0-openjdk (openSUSE-2015-512) (Bar Mitzvah) (Logjam)	Nessus	SuSE Local Security Checks	2015/7/27	2022/12/5	low
84784	Oracle Linux 6 / 7 : java-1.8.0-openjdk (ELSA-2015-1228) (Bar Mitzvah) (Logjam)	Nessus	Oracle Linux Local Security Checks	2015/7/16	2023/4/25	medium
84793	Scientific Linux 安全性更新：SL6.x、SL7.x i386/x86_64 上的 java-1.8.0-openjdk (Bar Mitzvah) (Logjam)	Nessus	Scientific Linux Local Security Checks	2015/7/16	2022/12/5	medium
84825	Oracle Java SE 多個弱點 (2015 年 7 月 CPU) (Unix) (Bar Mitzvah)	Nessus	Misc.	2015/7/17	2024/4/19	critical
84931	Amazon Linux AMI : java-1.8.0-openjdk (ALAS-2015-571) (Bar Mitzvah) (Logjam)	Nessus	Amazon Linux Local Security Checks	2015/7/23	2022/12/5	medium
89904	GLSA-201603-11：Oracle JRE/JDK：多個弱點 (Logjam)	Nessus	Gentoo Local Security Checks	2016/3/14	2022/12/5	low

偵測

搜尋 Plugin

critical

medium

high

medium

low

low

medium

medium

critical

medium

low