遠端主機上安裝的 Oracle (之前稱為 Sun) Java SE 或 Java for Business 版本比 11 Update 1、8 Update 191、7 Update 201，或 6 Update 211 舊。因此，會受到多個弱點影響：- 在 Oracle Java SE 中，Java SE Embedded 元件的 Deployment (libpng) 子元件內有一個不明弱點，具有網路存取權限的未經驗證遠端攻擊者可藉以透過 HTTP 入侵 Java SE。(CVE-2018-13785) - 在 Oracle Java SE 中，Java SE Embedded 元件的 Hotspot 子元件內有一個不明弱點，具有網路存取權限的未經驗證遠端攻擊者可透過多個通訊協定入侵 Java SE (CVE-2018-3169) - 在 Oracle Java SE 中，Java SE 元件的 JavaFX 子元件內有一個不明弱點，具有網路存取權限的未經驗證遠端攻擊者可透過多個通訊協定入侵 Java SE。(CVE-2018-3209) - 在 Oracle Java SE 中，Java SE、Java SE Embedded 和 JRockit 元件的 JNDI 子元件內有一個不明弱點，具有網路存取權限的未經驗證遠端攻擊者可藉以透過多個通訊協定入侵 Java SE、Java SE Embedded 和 JRockit。(CVE-2018-3149) - 在 Oracle Java SE 中，Java SE、Java SE Embedded 和 JRockit 元件的 JSSE 子元件內有一個不明弱點，具有網路存取權限的未經驗證遠端攻擊者可藉以透過 SSL/TLS 入侵 Java SE、Java SE Embedded 或 JRockit。(CVE-2018-3180) - 在 Oracle Java SE 中，Java SE、Java SE Embedded 元件的 Networking 子元件內有一個不明弱點，具有網路存取權限的未經驗證遠端攻擊者可藉以透過多個通訊協定入侵 Java SE 或 Java SE Embedded。(CVE-2018-3139) - 在 Oracle Java SE 中，Java SE、Java SE Embedded 和 JRockit 元件的 Scripting 子元件內有一個不明弱點，具有網路存取權限的未經驗證遠端攻擊者可藉以透過多個通訊協定入侵 Java SE、Java SE Embedded 或 JRockit。(CVE-2018-3183) - 在 Oracle Java SE 中，Java SE、Java SE Embedded 元件的 Security 子元件內有一個不明弱點，具有網路存取權限的未經驗證遠端攻擊者可藉以透過多個通訊協定入侵 Java SE、Java SE Embedded。(CVE-2018-3136) - 在 Oracle Java SE 中，Java SE、Java SE Embedded 元件的 Serviceability 子元件內有一個不明弱點，低權限攻擊者得以登入 Java SE、Java SE Embedded 執行所在的基礎結構，以入侵 Java SE、Java SE Embedded。(CVE-2018-3211) - 在 Oracle Jave SE 中，Java SE 元件的 Sound 子元件內有一個不明弱點，具有網路存取權限的未經驗證遠端攻擊者可藉以透過多個通訊協定入侵 Java SE。(CVE-2018-3157) - 在 Oracle Jave SE 中，Java SE 元件的 Utility 子元件內有一個不明弱點，具有網路存取權限的未經驗證遠端攻擊者可藉以透過多個通訊協定入侵 Java SE。(CVE-2018-3150) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

據發現，OpenJDK 的 Security 元件未正確確保資訊清單元素在使用前經過簽署。攻擊者可能會利用此弱點特製不受信任的 Java 應用程式或 applet，以繞過 Java 沙箱限制。
(CVE-2018-3136)

Artem Smotrakov 發現 OpenJDK 中的 HTTP 用戶端重新導向處理常式實作未在遵循重新導向至不同主機時，清除 HTTP 標頭中可能敏感的資訊。攻擊者可利用此缺陷洩漏敏感資訊。
(CVE-2018-3139)

據發現，OpenJDK 中的 Java Naming and Directory Interface (JNDI) 實作在某些情況下未正確執行系統屬性所指定的限制。攻擊者可能會利用此弱點執行任意程式碼。(CVE-2018-3149)

據發現，OpenJDK 的 Utility 元件未正確確保 JAR 中的所有屬性在使用前經過簽署。攻擊者可利用此弱點特製不受信任的 Java 應用程式或 applet，來繞過 Java 沙箱限制。此問題僅影響 Ubuntu 18.04 LTS 和 Ubuntu 18.10。(CVE-2018-3150)

據發現，OpenJDK 的 Hotspot 元件在某些情況下執行欄位連結解析時，未正確執行存取檢查。攻擊者可利用此弱點特製不受信任的 Java 應用程式或 applet，以繞過 Java 沙箱限制。(CVE-2018-3169)

Felix Dorre 發現 OpenJDK 中的 Java Secure Socket Extension (JSSE) 實作未確保在 TLS 工作階段繼續執行期間使用與初始工作階段設定期間相同的端點識別演算法。攻擊者可利用此弱點洩漏敏感資訊。(CVE-2018-3180)

Krzysztof Szafranski 發現 Scripting 元件在某些情況下未正確限制對指令碼引擎的存取。
攻擊者可利用此弱點特製不受信任的 Java 應用程式或 applet，來繞過 Java 沙箱限制。
(CVE-2018-3183)

Tobias Ospelt 發現 OpenJDK 中的資源交換檔案格式 (RIFF) 讀取器實作含有無限迴圈。攻擊者可利用此弱點造成拒絕服務。這個問題只會影響 Ubuntu 16.04 LTS。(CVE-2018-3214)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Red Hat Enterprise Linux 7 的 java-11-openjdk 更新。Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Java-11-openjdk 套件提供 OpenJDK 11 Java Runtime Environment 和 OpenJDK 11 Java Software Development Kit。安全性修正：* OpenJDK：不正確的欄位存取檢查 (Hotspot、8199226) (CVE-2018-3169) * OpenJDK：未限制存取指令碼引擎 (Scripting、8202936) (CVE-2018-3183) * OpenJDK：未完整強制執行 trustURLCodebase 限制 (JNDI、8199177) (CVE-2018-3149) * OpenJDK：未正確處理已簽署的 Jar 資訊清單中的未簽署屬性 (Security、8194534) (CVE-2018-3136) * OpenJDK：HTTP 重新導向導致敏感標頭資料洩漏 (Networking、8196902) (CVE-2018-3139) * OpenJDK：從主要資訊清單屬性外讀取到 Multi-Release 屬性 (Utility、8199171) (CVE-2018-3150) * OpenJDK：在 TLS 工作階段繼續執行期間，遺漏端點識別演算法檢查 (JSSE、8202613) (CVE-2018-3180) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

遠端主機受到 GLSA-201908-10 中所述的弱點影響 (Oracle JDK/JRE：多個弱點) 在 Oracle 的 JDK 和 JRE 軟體套件中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：如需詳細資料，請檢閱提及的 CVE 識別碼。因應措施：目前尚無已知的因應措施。

來自 Red Hat 安全公告 2018:3521： 現已提供適用於 Red Hat Enterprise Linux 7 的 java-11-openjdk 更新。 Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 Java-11-openjdk 套件提供 OpenJDK 11 Java Runtime Environment 和 OpenJDK 11 Java Software Development Kit。 安全性修正： * OpenJDK：欄位存取檢查不當 (Hotspot, 8199226) (CVE-2018-3169) * OpenJDK：無限制地存取指令碼引擎 (Scripting, 8202936) (CVE-2018-3183) * OpenJDK：trustURLCodebase 限制的不完全執行 (JNDI, 8199177) (CVE-2018-3149) * OpenJDK：對已簽名 Jar 資訊清單中未簽名屬性的處理錯誤 (Security, 8194534) (CVE-2018-3136) * OpenJDK：透過 HTTP 重新導向洩露機密標頭資料 (Networking, 8196902) (CVE-2018-3139) * OpenJDK：從主要清單屬性的外部讀取 Multi-Release 屬性 (Utility, 8199171) (CVE-2018-3150) * OpenJDK：TLS 工作階段還原期間遺漏端點標識演算法檢查 (JSSE, 8202613) (CVE-2018-3180) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

安全性修正：

  - OpenJDK：欄位存取檢查不當 (Hotspot, 8199226) (CVE-2018-3169)

  - OpenJDK：無限制地存取指令碼引擎 (Scripting, 8202936) (CVE-2018-3183)

  - OpenJDK：trustURLCodebase 限制的不完全執行 (JNDI, 8199177) (CVE-2018-3149)

  - OpenJDK：對已簽名 Jar 資訊清單中未簽名屬性的處理錯誤 (Security, 8194534) (CVE-2018-3136)

  - OpenJDK：透過 HTTP 重新導向洩露機密標頭資料 (Networking, 8196902) (CVE-2018-3139)

  - OpenJDK：從主要清單屬性的外部讀取 Multi-Release 屬性 (Utility, 8199171) (CVE-2018-3150)

  - OpenJDK：TLS 工作階段還原期間遺漏端點標識演算法檢查 (JSSE, 8202613) (CVE-2018-3180)

遠端主機上安裝的 Oracle (之前稱為 Sun) Java SE 或 Java for Business 版本比 11 Update 1、8 Update 191、7 Update 201，或 6 Update 211 舊。因此，會受到和下列元件有關的多個弱點所影響：- Deployment (libpng) - Hotspot - JavaFX - JNDI - JSSE - Networking - Scripting - Security - Serviceability - Sound - Utility

ID	名稱	產品	系列	已發布	已更新	嚴重性
118227	Oracle Java SE Multiple Vulnerabilities (October 2018 CPU) (Unix)	Nessus	Misc.	2018/10/19	2024/4/19	critical
118568	Ubuntu 16.04 LTS / 18.04 LTS：OpenJDK 弱點 (USN-3804-1)	Nessus	Ubuntu Local Security Checks	2018/10/31	2023/10/21	critical
118815	RHEL 7：java-11-openjdk (RHSA-2018:3521)	Nessus	Red Hat Local Security Checks	2018/11/8	2024/4/27	critical
127959	GLSA-201908-10：Oracle JDK/JRE：多個弱點	Nessus	Gentoo Local Security Checks	2019/8/20	2024/5/2	critical
118849	Oracle Linux 7 : java-11-openjdk (ELSA-2018-3521)	Nessus	Oracle Linux Local Security Checks	2018/11/9	2021/4/14	critical
119048	CentOS 7：java-11-openjdk (CESA-2018:3521)	Nessus	CentOS Local Security Checks	2018/11/21	2021/4/8	critical
119209	Scientific Linux 安全性更新：SL7.x x86_64 上的 java-11-openjdk (20181107)	Nessus	Scientific Linux Local Security Checks	2018/11/27	2020/7/1	critical
118228	Oracle Java SE 多個弱點 (2018 年 10 月 CPU)	Nessus	Windows	2018/10/19	2022/4/11	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical