此 java-1_8_0-ibm 更新會更新至 8.0-2.10 版，可修正下列安全性問題 (bsc#963937)：

- CVE-2015-5041：可叫用特定情況下的非公用介面方法

- CVE-2015-7575：TLS 通訊協定允許 TLS 交握期間以 MD5 雜湊函式簽署 ServerKeyExchange 訊息時，使用因衝突攻擊而導致較預期安全性等級弱的版本。攻擊者可惡意利用此弱點，使用攔截式技術模擬 TLS 伺服器並取得認證。

- CVE-2015-8126：由於 png_set_PLTE() 和 png_get_PLTE() 函式的不當邊界檢查，導致 libpng 發生緩衝區溢位

- CVE-2015-8472：由於 png_set_PLTE() 和 png_get_PLTE() 函式的不當邊界檢查，導致 libpng 發生緩衝區溢位

- CVE-2016-0402：與 Networking 元件相關的不明弱點不具任何機密性影響，有部分完整性影響，且不具可用性影響

- CVE-2016-0448：與 JMX 元件相關的不明弱點允許遠端攻擊者取得敏感資訊

- CVE-2016-0466：與 JAXP 元件相關的不明弱點允許遠端攻擊者造成拒絕服務

- CVE-2016-0475：與 Libraries 元件相關的不明弱點有部分機密性影響，有部分完整性影響，且不具可用性影響

- CVE-2016-0483：與 AWT 元件相關的不明弱點具有完整的機密性、完整性及可用性影響

- CVE-2016-0494：與 2D 元件相關的不明弱點具有完整的機密性、完整性及可用性影響

下列錯誤已經修正：

- bsc#960402：解決 devel 套件中的套件衝突

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 7 主機已安裝受到多個弱點影響的套件，如 RHSA-2016:0098 公告中所提及。

  - IBM JDK：J9 JVM 允許程式碼啟用非公開介面方法 (CVE-2015-5041)

  - TLS 1.2 防止在金鑰交換通訊協定中對 MD5 的轉譯衝突攻擊 (SLOTH) (CVE-2015-7575)

  - libpng：png_get_PLTE/png_set_PLTE 函式中的緩衝區溢位弱點 (CVE-2015-8126、CVE-2015-8472)

  - OpenJDK：URL 還原序列化不一致 (網路，8059054) (CVE-2016-0402)

  - OpenJDK：記錄 RMI 連線密碼 (JMX，8130710) (CVE-2016-0448)

  - OpenJDK：totalEntitySizeLimit 的執行不充分 (JAXP，8133962) (CVE-2016-0466)

  - OpenJDK：PBE 的金鑰長度不正確 (程式庫，8138589) (CVE-2016-0475)

  - OpenJDK：JPEG 解碼器中的邊界檢查不正確 (AWT，8139017) (CVE-2016-0483)

  - ICU：IndicRearrangementProcessor 中的整數正負號問題 (OpenJDK 2D，8140543) (CVE-2016-0494)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 Supplementary 的更新版 java-1.6.0-ibm 套件，可修正數個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM Java SE 版本 6 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。有關這些瑕疵的進一步資訊，請查閱〈參照〉一節所列的「IBM Java 安全性警示」頁面連結內容。(CVE-2015-5041、CVE-2015-7575、CVE-2015-7981、CVE-2015-8126、CVE-2015-8472、CVE-2015-8540、CVE-2016-0402、CVE-2016-0448、CVE-2016-0466、CVE-2016-0483、CVE-2016-0494)

注意：此更新也不允許在憑證路徑處理中使用 MD5 雜湊演算法。將 MD5 從在 java.security 檔案中定義的 jdk.certpath.disabledAlgorithms 安全性內容中移除後，可重新啟用 MD5 的使用。

建議所有 java-1.6.0-ibm 使用者皆升級至這些更新版套件，其中包含 IBM Java SE 6 SR16-FP20 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

遠端 Redhat Enterprise Linux 5 / 6 主機上安裝的套件受到 RHSA-2016:1430 公告中提及的多個弱點影響。

  - OpenJDK：kerberos 領域名稱洩漏 (JGSS，8048030) (CVE-2015-4734)

  - OpenJDK：XML 剖析期間使用雜湊表和清單的方式沒有效率 (JAXP，8068842) (CVE-2015-4803)

  - OpenJDK：遺漏檢查 ObjectStreamClass 中是否正確初始化 (序列化，8103671) (CVE-2015-4805)

  - OpenJDK：HttpURLConnection 標頭限制繞過 (程式庫，8130193) (CVE-2015-4806)

  - Oracle JDK：已解決 7u91 和 8u65 中的不明弱點 (部署) (CVE-2015-4810)

  - OpenJDK：StubGenerator 中的權限檢查不足 (CORBA，8076383) (CVE-2015-4835)

  - OpenJDK：CMS 程式碼中的 OOB 存取 (2D，8086092) (CVE-2015-4840)

  - OpenJDK：user.dir 位置洩漏 (JAXP，8078427) (CVE-2015-4842)

  - OpenJDK：java.nio 緩衝區整數溢位問題 (程式庫，8130891) (CVE-2015-4843)

  - ICU：配置引擎中遺漏邊界檢查 (OpenJDK 2D，8132042) (CVE-2015-4844)

  - OpenJDK：DGCImpl 中使用了不正確的存取控制內容 (RMI，8080688) (CVE-2015-4860)

  - OpenJDK：受保護的方法可透過 DirectMethodHandle 做為介面方法使用 (程式庫) (CVE-2015-4871)

  - OpenJDK：AlgorithmChecker 的限制執行不完整 (安全性，8131291) (CVE-2015-4872)

  - OpenJDK：IIOPInputStream 中的字串物件還原序列化不正確 (CORBA，8076387) (CVE-2015-4882)

  - OpenJDK：DGCClient 中使用了不正確的存取控制內容 (RMI，8076413) (CVE-2015-4883)

  - OpenJDK：不完整的 MaxXMLNameLimit 執行 (JAXP，8086733) (CVE-2015-4893)

  - Oracle JDK：已解決 6u105、7u91 和 8u65 中的不明弱點 (部署) (CVE-2015-4902)

  - OpenJDK：RemoteObjectInvocationHandler 中的 proxy 類別檢查不充分 (RMI，8076339) (CVE-2015-4903)

  - IBM JDK：本機洩漏 kerberos 憑證快取 (CVE-2015-5006)

  - IBM JDK：J9 JVM 允許程式碼啟用非公開介面方法 (CVE-2015-5041)

  - TLS 1.2 防止在金鑰交換通訊協定中對 MD5 的轉譯衝突攻擊 (SLOTH) (CVE-2015-7575)

  - libpng：png_convert_to_rfc1123 中的超出邊界讀取 (CVE-2015-7981)

  - libpng：png_get_PLTE/png_set_PLTE 函式中的緩衝區溢位弱點 (CVE-2015-8126、CVE-2015-8472)

  - libpng：png_check_keyword() 中的反向溢位讀取 (CVE-2015-8540)

  - IBM JDK：IBM JVM 中的緩衝區溢位弱點 (CVE-2016-0264)

  - IBM JDK：CORBA 元件中叫用方法的不安全使用，不正確的 CVE-2013-3009 修正 (CVE-2016-0363)

  - IBM JDK：CORBA 中不安全的還原序列化，不正確的 CVE-2013-5456 修正 (CVE-2016-0376)

  - OpenJDK：URL 還原序列化不一致 (網路，8059054) (CVE-2016-0402)

  - OpenJDK：記錄 RMI 連線密碼 (JMX，8130710) (CVE-2016-0448)

  - OpenJDK：totalEntitySizeLimit 的執行不充分 (JAXP，8133962) (CVE-2016-0466)

  - OpenJDK：JPEG 解碼器中的邊界檢查不正確 (AWT，8139017) (CVE-2016-0483)

  - ICU：IndicRearrangementProcessor 中的整數正負號問題 (OpenJDK 2D，8140543) (CVE-2016-0494)

  - OpenJDK：ObjectInputStream 中的執行緒一致性檢查不足 (序列化，8129952) (CVE-2016-0686)

  - OpenJDK：不充分的位元組類型檢查 (Hotspot，8132051) (CVE-2016-0687)

  - Oracle JDK：已修正 6u115、7u101 和 8u91 中的不明弱點 (2D) (CVE-2016-3422、CVE-2016-3443)

  - OpenJDK：非常數時間 GCM 驗證標籤比較 (JCE，8143945) (CVE-2016-3426)

  - OpenJDK：驗證認證未受限制的還原序列化 (JMX，8144430) (CVE-2016-3427)

  - Oracle JDK：已解決 6u115、7u101 和 8u91 中的不明弱點 (部署)(CVE-2016-3449)：

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

此 java-1_7_0-ibm 更新已更新至 7.0-9.30，可修正下列問題 (bsc#963937)：

- CVE-2015-5041：可叫用特定情況下的非公用介面方法

- CVE-2015-7575：TLS 通訊協定允許 TLS 交握期間以 MD5 雜湊函式簽署 ServerKeyExchange 訊息時，使用因衝突攻擊而導致較預期安全性等級弱的版本。攻擊者可惡意利用此弱點，使用攔截式技術模擬 TLS 伺服器並取得認證。

- CVE-2015-7981：libpng 允許遠端攻擊者取得敏感資訊，這是因為 png_convert_to_rfc1123 函式超出邊界讀取所導致。攻擊者可惡意利用此弱點取得敏感資訊

- CVE-2015-8126：由於 png_set_PLTE() 和 png_get_PLTE() 函式的不當邊界檢查，導致 libpng 發生緩衝區溢位

- CVE-2015-8472：由於 png_set_PLTE() 和 png_get_PLTE() 函式的不當邊界檢查，導致 libpng 發生緩衝區溢位

- CVE-2015-8540：libpng 容易遭受緩衝區溢位影響，這是因為 pngwutil.c 中 png_check_keyword 的讀取反向溢位所導致。遠端攻擊者可藉由傳送超長引數，造成緩衝區溢位並在系統上執行任意程式碼，或造成應用程式損毀。

- CVE-2016-0402：與 Networking 元件相關的不明弱點不具任何機密性影響，有部分完整性影響，且不具可用性影響

- CVE-2016-0448：與 JMX 元件相關的不明弱點允許遠端攻擊者取得敏感資訊

- CVE-2016-0466：與 JAXP 元件相關的不明弱點允許遠端攻擊者造成拒絕服務

- CVE-2016-0483：與 AWT 元件相關的不明弱點具有完整的機密性、完整性及可用性影響

- CVE-2016-0494：與 2D 元件相關的不明弱點具有完整的機密性、完整性及可用性影響

下列錯誤已經修正：

- bsc#960402：解決 devel 套件中的套件衝突

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

IBM Java 已更新至 6.0-16.20 版，修正了多種安全性問題。

如需詳細資訊，請參閱 <a href='http://www.ibm.com/developerworks/java/jdk/alerts/'>http://www.ibm.com/developerworks/java/jdk/alerts/</a>。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 AIX 主機上安裝的 Java SDK 版本受到下列元件中的多個弱點影響：

- 2D
 - AWT
 - IBM J9 JVM
 - JAXP
 - JMX
 - Libraries
 - Networking
 - Security

此 java-1_6_0-ibm 更新已更新至 6.0-16.20，可修正下列問題 (bsc#963937)

- CVE-2015-5041：可叫用特定情況下的非公用介面方法

- CVE-2015-7575：TLS 通訊協定允許 TLS 交握期間以 MD5 雜湊函式簽署 ServerKeyExchange 訊息時，使用因衝突攻擊而導致較預期安全性等級弱的版本。攻擊者可惡意利用此弱點，使用攔截式技術模擬 TLS 伺服器並取得認證。

- CVE-2015-7981：libpng 允許遠端攻擊者取得敏感資訊，這是因為 png_convert_to_rfc1123 函式超出邊界讀取所導致。攻擊者可惡意利用此弱點取得敏感資訊

- CVE-2015-8126：由於 png_set_PLTE() 和 png_get_PLTE() 函式的不當邊界檢查，導致 libpng 發生緩衝區溢位

- CVE-2015-8472：由於 png_set_PLTE() 和 png_get_PLTE() 函式的不當邊界檢查，導致 libpng 發生緩衝區溢位

- CVE-2015-8540：libpng 容易遭受緩衝區溢位影響，這是因為 pngwutil.c 中 png_check_keyword 的讀取反向溢位所導致。遠端攻擊者可藉由傳送超長引數，造成緩衝區溢位並在系統上執行任意程式碼，或造成應用程式損毀。

- CVE-2016-0402：與 Networking 元件相關的不明弱點不具任何機密性影響，有部分完整性影響，且不具可用性影響

- CVE-2016-0448：與 JMX 元件相關的不明弱點允許遠端攻擊者取得敏感資訊

- CVE-2016-0466：與 JAXP 元件相關的不明弱點允許遠端攻擊者造成拒絕服務

- CVE-2016-0483：與 AWT 元件相關的不明弱點具有完整的機密性、完整性及可用性影響

- CVE-2016-0494：與 2D 元件相關的不明弱點具有完整的機密性、完整性及可用性影響

下列錯誤已經修正：

- bsc#960402：解決 devel 套件中的套件衝突

- bsc#960286：解決字型子套件中的套件衝突

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機上安裝的 IBM Java 版本為 6.0 < 6.0.16.20 / 6.1 < 6.1.8.20 / 7.0 < 7.0.9.30 / 7.1 < 7.1.3.30 / 8.0 < 8.0.2.10。因此，其會受到 2016 年 1 月 IBM 安全性更新公告中提及的多個弱點影響。

  - IBM SDK, Java Technology Edition 6 SR16 FP20 之前版本、6 R1 至 SR8 FP20、7 至 SR9 FP30、7 R1 至 SR3 FP30 中的 J9 JVM 允許遠端攻擊者透過叫用非公開介面方法取得敏感資訊或注入資料。(CVE-2015-5041)

  - 在 libpng 1.0.x 至 1.0.64、1.2.x 至 1.2.54 以及 1.4.x 至 1.4.17 版本中，png.c 的 png_convert_to_rfc1123 函式允許遠端攻擊者透過影像檔案中特製的 tIME 區塊資料觸發超出邊界讀取，進而取得敏感的處理程序記憶體資訊。(CVE-2015-7981)

  -  libpng 0.90 至 0.99、1.0.x 至 1.0.66、1.1.x、1.2.x 至 1.2.56、1.3.x、1.4.x 至 1.4.19 以及 1.5.x 至 1.5.26 版本中，pngwutil.c 的 png_check_keyword 函式中的整數反向溢位弱點允許遠端攻擊者透過將空格字元做為 PNG 影像中的關鍵字來觸發超出邊界讀取，進而造成不明影響。(CVE-2015-8540)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

現已提供適用於 Red Hat Enterprise Linux 6 和 7 Supplementary 的更新版 java-1.7.1-ibm 套件，可修正數個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM Java SE 版本 7 發行版本 1 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。有關這些瑕疵的進一步資訊，請查閱〈參照〉一節所列的「IBM Java 安全性警示」頁面連結內容。(CVE-2015-5041、CVE-2015-7575、CVE-2015-7981、CVE-2015-8126、CVE-2015-8472、CVE-2015-8540、CVE-2016-0402、CVE-2016-0448、CVE-2016-0466、CVE-2016-0483、CVE-2016-0494)

注意：此更新也不允許在憑證路徑處理中使用 MD5 雜湊演算法。將 MD5 從在 java.security 檔案中定義的 jdk.certpath.disabledAlgorithms 安全性內容中移除後，可重新啟用 MD5 的使用。

建議所有 java-1.7.1-ibm 使用者皆升級至這些更新版套件，其中含有 IBM Java SE 7R1 SR3-FP30 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

現已提供適用於 Red Hat Enterprise Linux 5 Supplementary 的更新版 java-1.7.0-ibm 套件，可修正數個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM Java SE 版本 7 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。有關這些瑕疵的進一步資訊，請查閱〈參照〉一節所列的「IBM Java 安全性警示」頁面連結內容。(CVE-2015-5041、CVE-2015-7575、CVE-2015-7981、CVE-2015-8126、CVE-2015-8472、CVE-2015-8540、CVE-2016-0402、CVE-2016-0448、CVE-2016-0466、CVE-2016-0483、CVE-2016-0494)

注意：此更新也不允許在憑證路徑處理中使用 MD5 雜湊演算法。將 MD5 從在 java.security 檔案中定義的 jdk.certpath.disabledAlgorithms 安全性內容中移除後，可重新啟用 MD5 的使用。

建議所有 java-1.7.0-ibm 使用者皆升級至這些更新版套件，其中包含 IBM Java SE 7 SR9-FP30 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

ID	名稱	產品	系列	已發布	已更新	嚴重性
88692	SUSE SLES12 安全性更新：java-1_8_0-ibm (SUSE-SU-2016:0390-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/11	2021/1/6	critical
88554	RHEL 7：java-1.8.0-ibm (RHSA-2016:0098)	Nessus	Red Hat Local Security Checks	2016/2/3	2024/4/21	critical
88557	RHEL 5 / 6：java-1.6.0-ibm (RHSA-2016:0101) (SLOTH)	Nessus	Red Hat Local Security Checks	2016/2/3	2019/10/24	critical
92400	RHEL 5 / 6：java-1.7.0-ibm 和 java-1.7.1-ibm (RHSA-2016:1430)	Nessus	Red Hat Local Security Checks	2016/7/19	2024/4/21	critical
88710	SUSE SLES11 安全性更新：java-1_7_0-ibm (SUSE-SU-2016:0433-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/12	2021/1/19	critical
89657	SUSE SLES11 安全性更新：java-1_7_0-ibm (SUSE-SU-2016:0636-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/3/4	2021/1/19	critical
89989	SUSE SLES10 安全性更新：java-1_6_0-ibm (SUSE-SU-2016:0776-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/3/17	2021/1/6	critical
89053	AIX Java 公告：java_jan2016_advisory.asc (2016 年 1 月 CPU) (SLOTH)	Nessus	AIX Local Security Checks	2016/3/1	2023/4/21	critical
89961	SUSE SLES11 安全性更新：java-1_6_0-ibm (SUSE-SU-2016:0770-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/3/16	2021/1/19	critical
160369	IBM Java 6.0 < 6.0.16.20 / 6.1 < 6.1.8.20 / 7.0 < 7.0.9.30 / 7.1 < 7.1.3.30 / 8.0 < 8.0.2.10 多個弱點 (2016 年 1 月 1 日)	Nessus	Misc.	2022/4/29	2023/10/31	critical
88555	RHEL 6 / 7：java-1.7.1-ibm (RHSA-2016:0099) (SLOTH)	Nessus	Red Hat Local Security Checks	2016/2/3	2019/10/24	critical
88556	RHEL 5：java-1.7.0-ibm (RHSA-2016:0100) (SLOTH)	Nessus	Red Hat Local Security Checks	2016/2/3	2019/10/24	critical
88709	SUSE SLES11 安全性更新：java-1_6_0-ibm (SUSE-SU-2016:0431-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/12	2021/1/19	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical