現已提供適用於 Oracle Java for Red Hat Enterprise Linux 6 和 Oracle Java for Red Hat Enterprise Linux 7 的 java-1.8.0-oracle 更新。Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Oracle Java SE 8 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。此更新會將 Oracle Java SE 8 升級至版本 8 Update 121。安全性修正：* 此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的多個弱點。如需這些缺陷的詳細資訊，請參閱 Oracle Java SE 重要修補程式更新公告頁面的＜參照＞一節內容。(CVE-2016-2183、CVE-2016-5546、CVE-2016-5547、CVE-2016-5548、CVE-2016-5549、CVE-2016-5552、CVE-2016-8328、CVE-2017-3231、CVE-2017-3241、CVE-2017-3252、CVE-2017-3253、CVE-2017-3259、CVE-2017-3261、CVE-2017-3262、CVE-2017-3272、CVE-2017-3289) 此更新將 3DES 加密套件新增到舊版演算法清單 (以 jdk.tls.legacyAlgorithms 安全性屬性定義) 中，解決 CVE-2016-2183 問題，現在，僅在連線 TLS/SSL 用戶端及伺服器未共用任何其他非舊版加密套件的情況下才予以使用。

遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 8 Update 121、7 Update 131 或 6 Update 141 舊。因此，會受到多個弱點影響：3DES 和 Blowfish 演算法中的 Libraries 子元件 (稱為 SWEET32) 中存在弱點，這是因預設使用弱式 64 位元區塊編碼器所致。具有足夠資源的攔截式攻擊者可透過「birthday」攻擊惡意利用此弱點，以偵測會在固定密碼與已知純文字之間洩漏 XOR 的衝突，從而允許洩漏密碼文字 (如安全 HTTPS Cookie)，並可能導致劫持經驗證的工作階段。(CVE-2016-2183) - Libraries 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者影響完整性。(CVE-2016-5546) - Libraries 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者造成拒絕服務情形。(CVE-2016-5547) - Libraries 子元件中存在多個不明缺陷，其允許未經驗證的遠端攻擊者洩漏敏感資訊。(CVE-2016-5548、CVE-2016-5549) - Networking 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者影響完整性。(CVE-2016-5552) - Mission Control 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者影響完整性。(CVE-2016-8328) - Networking 子元件中存在多個不明缺陷，會允許未經驗證的遠端攻擊者洩漏敏感資訊。(CVE-2017-3231、CVE-2017-3261) - RMI 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者執行任意程式碼。(CVE-2017-3241) - JAAS 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者影響完整性。(CVE-2017-3252) - 2D 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者造成拒絕服務情形。(CVE-2017-3253) - Deployment 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者洩漏敏感資訊。(CVE-2017-3259) - AWT 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者執行任意程式碼。(CVE-2017-3260) - Java Mission Control 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者洩漏敏感資訊。(CVE-2017-3262) - Libraries 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者執行任意程式碼。(CVE-2017-3272) - Hotspot 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者執行任意程式碼。(CVE-2017-3289) 請注意，CVE-2017-3241 僅可透過以下方式遭到惡意利用：提供資料給指定元件中的 API 而不使用未受信任的 Java Web Start 應用程式或是未受信任的 Java Applet，如透過網頁服務。請注意，CVE-2016-2183、CVE-2016-5546、CVE-2016-5547、CVE-2016-5552、CVE-2017-3252 以及 CVE-2017-3253 可以透過沙箱化的 Java Web Start 應用程式以及沙箱化的 Java Applet 遭到惡意利用。其也可以透過提供資料給指定元件的 API 而不使用沙箱化的 Java Web Start 應用程式或是沙箱化的 Java Applet (例如透過網頁服務) 而遭到惡意利用。

遠端主機受到 GLSA-201701-65 中所述弱點的影響 (Oracle JRE/JDK：多個弱點) 在 Oracle 的 JRE 和 JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：遠端攻擊者可能以處理程序的權限執行任意程式碼、取得存取資訊的權限，或造成拒絕服務情況。因應措施：目前尚無已知的因應措施。

遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 8 Update 121、7 Update 131 或 6 Update 141 舊。因此，會受到多個弱點影響：在 Libraries 子元件 (稱為 SWEET32) 中，在 3DES 和 Blowfish 演算法中存在弱點，這是因預設使用弱式 64 位元區塊編碼器所致。具有足夠資源的攔截式攻擊者可透過「birthday」攻擊惡意利用此弱點，以偵測會在固定密碼與已知純文字之間洩露 XOR 的衝突，從而允許洩露密碼文字 (如安全 HTTPS Cookie)，並可能導致劫持經驗證的工作階段。(CVE-2016-2183) - Libraries 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以影響完整性。(CVE-2016-5546) - Libraries 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以造成拒絕服務情形。(CVE-2016-5547) - Libraries 子元件中存在多個不明缺陷，未經驗證的遠端攻擊者可藉以洩露敏感資訊。(CVE-2016-5548、CVE-2016-5549) - Networking 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以影響完整性。(CVE-2016-5552) - Mission Control 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者影響完整性。(CVE-2016-8328) - Networking 子元件中存在多個不明缺陷，會允許未經驗證的遠端攻擊者洩露敏感資訊。(CVE-2017-3231、CVE-2017-3261) - RMI 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者執行任意程式碼。(CVE-2017-3241) - JAAS 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者影響完整性。(CVE-2017-3252) - 2D 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以造成拒絕服務情形。(CVE-2017-3253) - Deployment 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以洩露敏感資訊。(CVE-2017-3259) - AWT 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者執行任意程式碼。(CVE-2017-3260) - Java Mission Control 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者洩露敏感資訊。(CVE-2017-3262) - Libraries 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者執行任意程式碼。(CVE-2017-3272) - Hotspot 子元件中存在不明缺陷，其允許未經驗證的遠端攻擊者執行任意程式碼。(CVE-2017-3289) 請注意，CVE-2017-3241 僅可透過以下方式遭到惡意利用：提供資料給指定元件中的 API 而不使用未受信任的 Java Web Start 應用程式或是未受信任的 Java Applet，如透過網頁服務。請注意，CVE-2016-2183、CVE-2016-5546、CVE-2016-5547、CVE-2016-5552、CVE-2017-3252 以及 CVE-2017-3253 可以透過沙箱化的 Java Web Start 應用程式以及沙箱化的 Java Applet 遭到惡意利用。其也可以透過提供資料給指定元件的 API 而不使用沙箱化的 Java Web Start 應用程式或是沙箱化的 Java Applet (例如透過網頁服務) 而遭到惡意利用。

ID	名稱	產品	系列	已發布	已更新	嚴重性
96650	RHEL 6 / 7：java-1.8.0-oracle (RHSA-2017:0175)	Nessus	Red Hat Local Security Checks	2017/1/20	2019/10/24	critical
96628	Oracle Java SE 多個弱點 (2017 年 1 月 CPU) (SWEET32)	Nessus	Windows	2017/1/19	2022/4/11	critical
96787	GLSA-201701-65：Oracle JRE/JDK：多個弱點	Nessus	Gentoo Local Security Checks	2017/1/26	2021/1/11	critical
96629	Oracle Java SE Multiple Vulnerabilities (January 2017 CPU) (Unix) (SWEET32)	Nessus	Misc.	2017/1/19	2024/4/19	critical

偵測

搜尋 Plugin

critical

critical

critical

critical