在 OpenJDK (Oracle Java 平台的實作) 中發現數個弱點，可能會導致執行任意程式碼、Java Sandbox 遭入侵、資訊洩漏或拒絕服務。

java-1_8_0-openjdk 已更新，修正了 24 個安全性問題。

已修正這些安全性問題：

- CVE-2015-4734：遠端使用者可惡意利用 Embedded JGSS 元件中的瑕疵，以存取部分資料

- CVE-2015-4803：遠端使用者可惡意利用 JRockit JAXP 元件中的瑕疵，以造成部分拒絕服務情形

- CVE-2015-4805：遠端使用者可惡意利用 Embedded Serialization 元件中的一個瑕疵，取得提升的權限

- CVE-2015-4806：遠端使用者可惡意利用 Java SE Embedded Libraries 元件中的一個瑕疵，存取和修改部分資料

- CVE-2015-4835：遠端使用者可惡意利用 Embedded CORBA 元件中的瑕疵，以取得提升的權限

- CVE-2015-4842：遠端使用者可惡意利用 Embedded JAXP 元件中的一個瑕疵，存取部分資料

- CVE-2015-4843：遠端使用者可惡意利用 Java SE Embedded Libraries 元件中的瑕疵，以取得提升的權限

- CVE-2015-4844：遠端使用者可惡意利用 Embedded 2D 元件中的一個瑕疵，取得提升的權限

- CVE-2015-4860：遠端使用者可惡意利用 Embedded RMI 元件中的一個瑕疵，取得提升的權限

- CVE-2015-4872：遠端使用者可惡意利 JRockit Security 元件中的一個瑕疵，修改部分資料 []。

- CVE-2015-4881：遠端使用者可惡意利用 Embedded CORBA 元件中的瑕疵，以取得提升的權限

- CVE-2015-4882：遠端使用者可惡意利用 Embedded CORBA 元件中的一個瑕疵，造成部分拒絕服務情形

- CVE-2015-4883：遠端使用者可惡意利用 Embedded RMI 元件中的一個瑕疵，取得提升的權限

- CVE-2015-4893：遠端使用者可惡意利用 JRockit JAXP 元件中的瑕疵，以造成部分拒絕服務情形

- CVE-2015-4902：遠端使用者可惡意利用 ava SE Deployment 元件中的一個瑕疵，修改部分資料

- CVE-2015-4903：遠端使用者可惡意利用 Embedded RMI 元件中的一個瑕疵，存取部分資料

- CVE-2015-4911：遠端使用者可惡意利用 JRockit JAXP 元件中的瑕疵，以造成部分拒絕服務情形

- CVE-2015-4810：本機使用者可惡意利用 Java SE Deployment 元件中的一個瑕疵，取得提升的權限

- CVE-2015-4840：遠端使用者可惡意利用 Embedded 2D 元件中的一個瑕疵，存取部分資料

- CVE-2015-4868：遠端使用者可惡意利用 Java SE Embedded Libraries 元件中的瑕疵，以取得提升的權限

- CVE-2015-4901：遠端使用者可惡意利用 JavaFX component 元件中的一個瑕疵，取得提升的權限

- CVE-2015-4906：遠端使用者可惡意利用 JavaFX 元件中的瑕疵，以存取部分資料

- CVE-2015-4908：遠端使用者可惡意利用 JavaFX 元件中的瑕疵，以存取部分資料

- CVE-2015-4916：遠端使用者可惡意利用 JavaFX 元件中的瑕疵，以存取部分資料

來自 Red Hat 安全性公告 2015:2086：

現已提供適用於 Red Hat Enterprise Linux 5、6 和 7 的更新版 java-1.6.0-openjdk 套件，可修正多個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.6.0-openjdk 套件提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Java Software Development Kit。

在 OpenJDK 的 CORBA、Libraries、RMI、Serialization 和 2D 元件中發現多個弱點。未受信任的 Java 應用程式或 applet 可利用這些瑕疵完全繞過 Java Sandbox 限制。(CVE-2015-4835、CVE-2015-4881、CVE-2015-4843、CVE-2015-4883、CVE-2015-4860、CVE-2015-4805、CVE-2015-4844)

在 OpenJDK 的 JAXP 元件中發現多個拒絕服務瑕疵。可利用特製的 XML 檔案，導致系統在剖析使用 JAXP 的 Java 應用程式時，消耗過量的 CPU 與記憶體。(CVE-2015-4803、CVE-2015-4893、CVE-2015-4911)

據發現，OpenJDK 中的 Security 元件未正確檢查憑證是否符合所有已定義的限制。在特定情況下，這會導致 Java 應用程式接受不符合定義原則需求的 X.509 憑證。
(CVE-2015-4872)

在 OpenJDK 的 Libraries、CORBA、JAXP、JGSS 和 RMI 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。
(CVE-2015-4806、CVE-2015-4882、CVE-2015-4842、CVE-2015-4734、CVE-2015-4903)

Red Hat 要感謝 Truel IT 的 Andrea Palazzo 報告 CVE-2015-4806 問題。

建議所有 java-1.6.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

java-1_7_0-openjdk 已更新至版本 7u91，可修正 17 個安全性問題。

已修正這些安全性問題：

- CVE-2015-4843：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與程式庫相關的未知向量，影響機密性、完整性和可用性 (bsc#951376)。

- CVE-2015-4842：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 JAXP 相關的向量，影響機密性 (bsc#951376)。

- CVE-2015-4840：Oracle Java SE 7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 2D 相關的未知向量，影響機密性 (bsc#951376)。

- CVE-2015-4872：Oracle Java SE 6u101、7u85 和 8u60；Java SE Embedded 8u51；以及 JRockit R28.3.7 中有一個不明弱點，會讓遠端攻擊者透過與 Security 相關的未知向量，影響完整性 (bsc#951376)。

- CVE-2015-4860：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 RMI 相關的向量，影響機密性、完整性和可用性；此弱點與 CVE-2015-4883 不同 (bsc#951376)。

- CVE-2015-4844：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 2D 相關的未知向量，影響機密性、完整性和可用性 (bsc#951376)。

- CVE-2015-4883：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 RMI 相關的向量，影響機密性、完整性和可用性；此弱點與 CVE-2015-4860 不同 (bsc#951376)。

- CVE-2015-4893：Oracle Java SE 6u101、7u85 和 8u60；Java SE Embedded 8u51；以及 JRockit R28.3.7 中有一個不明弱點，會讓遠端攻擊者透過與 JAXP 相關的向量，影響可用性；此弱點與 CVE-2015-4803 及 CVE-2015-4911 不同 (bsc#951376)。

- CVE-2015-4911：Oracle Java SE 6u101、7u85 和 8u60；Java SE Embedded 8u51；以及 JRockit R28.3.7 中有一個不明弱點，會讓遠端攻擊者透過與 JAXP 相關的向量，影響可用性；此弱點與 CVE-2015-4803 及 CVE-2015-4893 不同 (bsc#951376)。

- CVE-2015-4882：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 CORBA 相關的向量，影響可用性 (bsc#951376)。

- CVE-2015-4881：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 CORBA 相關的向量，影響機密性、完整性和可用性；此弱點與 CVE-2015-4835 不同 (bsc#951376)。

- CVE-2015-4734：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 JGSS 相關的向量，影響機密性 (bsc#951376)。

- CVE-2015-4806：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 Libraries 相關的未知向量，影響機密性和完整性 (bsc#951376)。

- CVE-2015-4805：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 Serialization 相關的未知向量，影響機密性、完整性和可用性 (bsc#951376)。

- CVE-2015-4803：Oracle Java SE 6u101、7u85 和 8u60；Java SE Embedded 8u51；以及 JRockit R28.3.7 中有一個不明弱點，會讓遠端攻擊者透過與 JAXP 相關的向量，影響可用性；此弱點與 CVE-2015-4893 及 CVE-2015-4911 不同 (bsc#951376)。

- CVE-2015-4835：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 CORBA 相關的向量，影響機密性、完整性和可用性；此弱點與 CVE-2015-4881 不同 (bsc#951376)。

- CVE-2015-4903：Oracle Java SE 6u101、7u85 和 8u60，以及 Java SE Embedded 8u51 中有一個不明弱點，會讓遠端攻擊者透過與 RMI 相關的向量，影響機密性 (bsc#951376)。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 Supplementary 的更新版 java-1.5.0-ibm 套件，可修正數個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM J2SE 版本 5.0 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。有關這些瑕疵的進一步資訊，請查閱〈參照〉一節所列的「IBM Java 安全性警示」頁面連結內容。(CVE-2015-4805、CVE-2015-4806、CVE-2015-4843、CVE-2015-4844、CVE-2015-4860、CVE-2015-4872、CVE-2015-4883、CVE-2015-4902、CVE-2015-4903)

Red Hat 要感謝 Truel IT 的 Andrea Palazzo 報告 CVE-2015-4806 問題。

IBM Java SDK 和 JRE 5.0 在 2015 年 9 月之後將不會收到軟體更新。此日期被稱為「終止服務」(EOS) 日期。建議客戶在此時移轉至目前版本的 IBM Java。IBM Java SDK 與 JRE 6 和 7 版現可透過 Red Hat Enterprise Linux 5 和 6 Supplementary 內容設定提供，而且依據＜參照＞一節連結之 IBM 的生命週期原則，將會繼續接收更新。

客戶也可以考慮 OpenJDK，這是 Java SE 規格的開放原始碼實作。在受支援的硬體架構上，預設有提供 OpenJDK。

建議所有 java-1.5.0-ibm 使用者皆升級至這些更新版套件，其中含有 IBM J2SE 5.0 SR16-FP14 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，此更新才會生效。

java-1_7_0-ibm 套件已更新至 7.0-9.20 版，修正了數個安全性和非安全性問題：

- bnc#955131：版本更新至 7.0-9.20：CVE-2015-4734 CVE-2015-4803 CVE-2015-4805 CVE-2015-4806 CVE-2015-4810 CVE-2015-4835 CVE-2015-4840 CVE-2015-4842 CVE-2015-4843 CVE-2015-4844 CVE-2015-4860 CVE-2015-4871 CVE-2015-4872 CVE-2015-4882 CVE-2015-4883 CVE-2015-4893 CVE-2015-4902 CVE-2015-4903 CVE-2015-4911 CVE-2015-5006

- 為 sdkdir 新增向後相容符號連結

- bnc#941939：進行修正，以便在 _jvmprivdir 中提供 %{name} 而非只提供 %{sdklnk}

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 8 Update 65、7 Update 91 或 6 Update 105 舊。因此受到下列元件中的安全性弱點影響：

- 2D
 - CORBA
 - Deployment
 - JavaFX
 - JAXP
 - JGSS
 - Libraries
 - RMI
 - Security
 - Serialization

ID	名稱	產品	系列	已發布	已更新	嚴重性
86642	Debian DSA-3381-1：openjdk-7 - 安全性更新	Nessus	Debian Local Security Checks	2015/10/29	2021/1/11	critical
86731	openSUSE 安全性更新：java-1_8_0-openjdk (openSUSE-2015-696)	Nessus	SuSE Local Security Checks	2015/11/5	2022/3/8	critical
86927	Oracle Linux 5 / 6 / 7：java-1.6.0-openjdk (ELSA-2015-2086)	Nessus	Oracle Linux Local Security Checks	2015/11/19	2021/1/14	critical
86962	openSUSE 安全性更新：java-1_7_0-openjdk (openSUSE-2015-736)	Nessus	SuSE Local Security Checks	2015/11/20	2021/1/19	critical
87099	RHEL 5 / 6：java-1.5.0-ibm (RHSA-2015:2518)	Nessus	Red Hat Local Security Checks	2015/11/30	2023/4/25	critical
87277	SUSE SLES11 安全性更新：java-1_7_0-ibm (SUSE-SU-2015:2216-1) (FREAK)	Nessus	SuSE Local Security Checks	2015/12/9	2022/3/8	critical
86543	Oracle Java SE 多個弱點 (2015 年 10 月 CPU) (Unix)	Nessus	Misc.	2015/10/22	2024/4/19	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical