此更新會將 IcedTea-Web 1.3 更新為 Fedora。來自 Red Hat Bugzilla，可修正 rhbz#720836。此外還提供其他許多錯誤修正和增強功能，其中有許多列在此處：

https://dbhole.wordpress.com/2012/09/05/icedtea-web-1-3-released/

- 已更新至 1.2.1

- 解決：RH840592/CVE-2012-3422

- 解決：RH841345/CVE-2012-3423

- 已更新至 1.2.1

- 解決：RH840592/CVE-2012-3422

- 解決：RH841345/CVE-2012-3423

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

icedtea-web Java 瀏覽器外掛程式已更新至 1.2.1，修正了多個安全性問題和錯誤。

- 已修正可能從未初始化記憶體位置讀取的問題。(CVE-2012-3422)

- 已修正非 0 終止之字串的不正確處理。(CVE-2012-3423)

IcedTea 專案團隊報告：

CVE-2012-3422：使用未初始化執行個體指標

在 IcedTea-Web 網頁瀏覽器外掛程式中發現一個未初始化指標使用瑕疵。惡意網頁可使用此瑕疵，使 IcedTea-Web 瀏覽器外掛程式將無效的指標傳遞至網頁瀏覽器。視使用的瀏覽器而定，這可能會造成瀏覽器損毀或可能執行任意程式碼。

get_cookie_info() 和 get_proxy_info() 以 instance_to_id_map 雜湊作為參數呼叫 getFirstInTableInstance()。如果 instance_to_id_map 為空 (外掛程式最近剛移除時可能發生)，getFirstInTableInstance() 會傳回未初始化的指標。

CVE-2012-3423：錯誤處理非 0 終止的字串

據發現，IcedTea-Web 網頁瀏覽器外掛程式錯誤地假定瀏覽器提供的所有字串皆以 NUL 的方式終止，但這並未得到 NPAPI (Netscape 外掛應用程式設定介面) 的保證。在未 NUL 終止 NPVariant NPStrings 的瀏覽器中使用時，這可導致緩衝區過度讀取或過度寫入，可能導致資訊洩漏、當機或程式碼執行。

Mozilla 瀏覽器目前會 NUL 終止字串，但是已知最新的 Chrome 版本不提供 NUL 終止的資料。

IcedTea-Web 專案提供 Java 網頁瀏覽器外掛程式和 Java Web Start 實作，其以 Netx 專案為基礎。
它也包含管理外掛程式和 Web Start 實作中的部署設定之組態工具。

在 IcedTea-Web 外掛程式中發現一個未初始化的指標使用瑕疵。造訪惡意網頁可能會造成使用 IcedTea-Web 外掛程式的網頁瀏覽器損毀、洩漏其部分記憶體，或執行任意程式碼。(CVE-2012-3422)

據發現，IcedTea-Web 外掛程式錯誤地假定從瀏覽器收到的所有字串皆以 NUL 終止。以不會 NULL 終止字串的網頁瀏覽器使用外掛程式時，造訪含有 Java applet 的網頁可能會造成瀏覽器損毀、洩漏其部分記憶體，或執行任意程式碼。(CVE-2012-3423)

此錯字勘誤表也會將 IcedTea-Web 升級至 1.2.1 版。

所有 IcedTea-Web 使用者皆應升級至這些更新版套件，該等套件可解決這些問題。使用 IcedTea-Web 瀏覽器外掛程式的網頁瀏覽器必須重新啟動，此更新才會生效。

在 icedtea-web 中發現多個弱點並已更正：

在 IcedTea-Web 網頁瀏覽器外掛程式中發現一個未初始化指標使用瑕疵。惡意網頁可使用此瑕疵，使 IcedTea-Web 瀏覽器外掛程式將無效的指標傳遞至網頁瀏覽器。視使用的瀏覽器而定，這可能會造成瀏覽器損毀或可能執行任意程式碼 (CVE-2012-3422)。

據發現，IcedTea-Web 網頁瀏覽器外掛程式錯誤地假定瀏覽器提供的所有字串皆以 NUL 的方式終止，但這並未得到 NPAPI (Netscape 外掛應用程式設定介面) 的保證。在未 NUL 終止 NPVariant NPStrings 的瀏覽器中使用時，這可導致緩衝區過度讀取或過度寫入，可能導致資訊洩漏、當機或程式碼執行 (CVE-2012-3423)。

更新版套件已升級至 1.1.6 版，不會受到這些問題的影響。

此 IcedTea-Web 1.4 更新提供了下列修正和增強功能：

- 安全性更新

- RH916774：使用同一個相對路徑的 applet 並未正確共用類別載入器。(CVE-2013-1926)

- RH884705：修正 gifar 弱點。(CVE-2013-1927)

- RH840592：可能從未初始化的記憶體位置進行讀取。(CVE-2012-3422)

- RH841345：不正確處理非 0 終止的字串。(CVE-2012-3423)

- RH884705：修正 gifar 弱點。(CVE-2013-1927)

- RH916774：使用同一個相對路徑的 applet 並未正確共用類別載入器。(CVE-2013-1926)

- NetX

- PR1027：IcedTea-Web 不支援 DownloadService

- PR725：JNLP 應用程式每次執行時都會提示使用者建立桌面捷徑

- PR1292：Javaws 並未正確解決包含句點的已建立版本 jar 名稱

- PR580：http://www.horaoficial.cl/ 未正確載入。

- 外掛程式

- PR1106：外掛程式表格中的緩衝區溢位

- PR1166：applet 標籤不支援內嵌 JNLP 檔案

- PR1217：新增適用於外掛程式的命令行引數

- PR1189：Icedtea 外掛程式使用 jnlp_href 時需要程式碼屬性

- PR1198：JSObject 未正確傳遞給 JavaScript

- PR1260：IcedTea-Web 不應仰賴 GTK

- PR1157：Applet 可能會在嚴重的例外狀況之後使瀏覽器懸置

- PR580：http://www.horaoficial.cl/ 並未正確載入

- PR1260：IcedTea-Web 不應仰賴 GTK

- PR1157：Applet 可能會在嚴重的例外狀況之後使瀏覽器懸置。

- 通用

- PR1049：延伸模組 jnlp 的已簽署 jar 只含有 META-INF/* 內容也會納入考慮

- PR955：迴歸：SweetHome3D 無法執行

- PR1145：IcedTea-Web 可造成 ClassCircularityError

- PR1161：X509VariableTrustManager 無法搭配 OpenJDK7 正確運作

- PR822：jar 有其他簽章者時，applet 無法載入

- PR1186：
System.getProperty('deployment.user.security.trusted.cac erts') 為 null

- PR909：http://de.gosupermodel.com/games/wardrobegame.jsp 的 Java applet 故障

- PR1299：WebStart 未從 firefox 正確讀取通訊端代理伺服器設定。

- 新增 cs、de、pl 當地語系化

- javaws 和外掛程式的開頭顯示畫面

- 透過錯誤開頭顯示畫面，改善外掛程式的錯誤報告

- 所有 IcedTea-Web 對話置中於使用中的畫面

- 下載指示器更為精簡，可容納多個 jar

- 使用者可透過 itw-settings 和 deploy.properties 選取自己的 JVM

- 新增延伸的 applet 安全性設定和對話

- 在 itw-settings 中新增選項，允許使用者在外掛程式初始化時設定 JVM 引數

- 修正舊版 xulrunner 的一個建構失敗

- 將嚴格的 openjdk6 相依性變更為符合 java-openjdk >= 1.6.0 條件的項目。

- 1.2.1 的更新 (bnc#773458)

- 安全性更新

- CVE-2012-3422、RH840592：可能從未初始化的記憶體位置讀取

- CVE-2012-3423、RH841345：不正確處理非 0 結尾的字串

- NetX

- PR898：包含大 jnlp-file 的已簽署應用程式未啟動 (webstart 影響，如「frozen」)

- PR811：javaws 未正確處理包含空格的 url (以及其他需要編碼的字元)

- 816592：icedtea-web 未在 Firefox 或 Chrome 中載入 GeoGebra java applet

- 外掛程式

- PR863：在 Chromium 中，將字串傳遞至 applet 方法時發生錯誤

- PR895：IcedTea-Web 會針對每個 loadClass 或 findClass 搜尋遺漏的類別

- PR518：未保證 NPString.utf8characters 以 NULL 終止

- 通用

- RH838417：釐清來自憑證警告的已簽署 applet 安全性提示

- RH838559：釐清來自憑證警告的已簽署 applet 安全性提示

此 icedtea-web 更新可修正多個 hewap 緩衝區溢位問題。

遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

Chamal De Silva 發現，IcedTea-Web Java 網頁瀏覽器外掛程式可能解除參照未初始化的指標。遠端攻擊者可利用這點，特製惡意網頁，透過損毀網頁瀏覽器造成拒絕服務，或可能執行任意程式碼。(CVE-2012-3422)

Steven Bergom 等人發現，IcedTea-Web Java 網頁瀏覽器外掛程式假定瀏覽器提供的所有字串皆以 NULL 的方式終止，但 NPAPI (Netscape 外掛應用程式設定介面) 並未保證如此。遠端攻擊者可利用這點，特製惡意的 Java applet，透過損毀網頁瀏覽器造成拒絕服務、洩漏敏感資訊或可能執行任意程式碼。(CVE-2012-3423)。

此 icedtea-web 更新可修正數個錯誤和安全性問題。

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 icedtea-web 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IcedTea-Web 專案提供 Java 網頁瀏覽器外掛程式和 Java Web Start 實作，其以 Netx 專案為基礎。
它也包含管理外掛程式和 Web Start 實作中的部署設定之組態工具。

在 IcedTea-Web 外掛程式中發現一個未初始化的指標使用瑕疵。造訪惡意網頁可能會造成使用 IcedTea-Web 外掛程式的網頁瀏覽器損毀、洩漏其部分記憶體，或執行任意程式碼。(CVE-2012-3422)

據發現，IcedTea-Web 外掛程式錯誤地假定從瀏覽器收到的所有字串皆以 NUL 終止。以不會 NULL 終止字串的網頁瀏覽器使用外掛程式時，造訪含有 Java applet 的網頁可能會造成瀏覽器損毀、洩漏其部分記憶體，或執行任意程式碼。(CVE-2012-3423)

Red Hat 要感謝 Chamal De Silva 報告 CVE-2012-3422 問題。

此錯字勘誤表也會將 IcedTea-Web 升級至 1.2.1 版。請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

所有 IcedTea-Web 使用者皆應升級至這些更新版套件，該等套件可解決這些問題。使用 IcedTea-Web 瀏覽器外掛程式的網頁瀏覽器必須重新啟動，此更新才會生效。

來自 Red Hat 安全性公告 2012:1132：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 icedtea-web 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IcedTea-Web 專案提供 Java 網頁瀏覽器外掛程式和 Java Web Start 實作，其以 Netx 專案為基礎。
它也包含管理外掛程式和 Web Start 實作中的部署設定之組態工具。

在 IcedTea-Web 外掛程式中發現一個未初始化的指標使用瑕疵。造訪惡意網頁可能會造成使用 IcedTea-Web 外掛程式的網頁瀏覽器損毀、洩漏其部分記憶體，或執行任意程式碼。(CVE-2012-3422)

據發現，IcedTea-Web 外掛程式錯誤地假定從瀏覽器收到的所有字串皆以 NUL 終止。以不會 NULL 終止字串的網頁瀏覽器使用外掛程式時，造訪含有 Java applet 的網頁可能會造成瀏覽器損毀、洩漏其部分記憶體，或執行任意程式碼。(CVE-2012-3423)

Red Hat 要感謝 Chamal De Silva 報告 CVE-2012-3422 問題。

此錯字勘誤表也會將 IcedTea-Web 升級至 1.2.1 版。請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

所有 IcedTea-Web 使用者皆應升級至這些更新版套件，該等套件可解決這些問題。使用 IcedTea-Web 瀏覽器外掛程式的網頁瀏覽器必須重新啟動，此更新才會生效。

套用 1.4 的更新後 icedtea-web 中的變更 (bnc#818768)：

- 新增 cs、de、pl 當地語系化

- javaws 和外掛程式的開頭顯示畫面

- 透過錯誤開頭顯示畫面，改善外掛程式的錯誤報告

- 所有 IcedTea-Web 對話置中於使用中的畫面

- 下載指示器更為精簡，可容納多個 jar

- 使用者可透過 itw-settings 和 deploy.properties 選取自己的 JVM。

- 新增延伸的 applet 安全性設定和對話

- 安全性更新

- CVE-2013-1926、RH916774：使用同一個相對路徑的 applet 並未正確共用類別載入器。

- CVE-2013-1927、RH884705：已修正 gifar 弱點

- CVE-2012-3422、RH840592：可能從未初始化的記憶體位置讀取

- CVE-2012-3423、RH841345：不正確處理非 0 結尾的字串

- NetX

- PR1027：IcedTea-Web 不支援 DownloadService

- PR725：JNLP 應用程式每次執行時都會提示使用者建立桌面捷徑

- PR1292：Javaws 並未正確解決包含句點的已建立版本 jar 名稱

- 外掛程式

- PR1106：外掛程式表格中的緩衝區溢位

- PR1166：applet 標籤不支援內嵌 JNLP 檔案

- PR1217：新增適用於外掛程式的命令行引數

- PR1189：Icedtea 外掛程式使用 jnlp_href 時需要程式碼屬性

- PR1198：JSObject 未正確傳遞給 JavaScript

- PR1260：IcedTea-Web 不應仰賴 GTK

- PR1157：Applet 可能會在嚴重的例外狀況之後使瀏覽器懸置

- PR580：http://www.horaoficial.cl/ 並未正確載入

- 通用

- PR1049：延伸模組 jnlp 的已簽署 jar 只含有 META-INF/* 內容也會納入考慮

- PR955：迴歸：SweetHome3D 無法執行

- PR1145：IcedTea-Web 可造成 ClassCircularityError

- PR1161：X509VariableTrustManager 無法搭配 OpenJDK7 正確運作

- PR822：jar 有其他簽章者時，applet 無法載入

- PR1186：
System.getProperty('deployment.user.security.trusted.cac erts') 為 null

- PR909：http://de.gosupermodel.com/games/wardrobegame.jsp 的 Java applet 故障

- PR1299：WebStart 未從 firefox 正確讀取通訊端代理伺服器設定

ID	名稱	產品	系列	已發布	已更新	嚴重性
62232	Fedora 17：icedtea-web-1.3-1.fc17 (2012-14316)	Nessus	Fedora Local Security Checks	2012/9/24	2021/1/11	high
64155	SuSE 11.1 / 11.2 安全性更新：icedtea-web (SAT 修補程式編號 6621 / 6626)	Nessus	SuSE Local Security Checks	2013/1/25	2021/1/19	high
61522	FreeBSD：在 IcedTea-Web 中發現數個弱點 (55b498e2-e56c-11e1-bbd5-001c25e46b1d)	Nessus	FreeBSD Local Security Checks	2012/8/14	2021/1/6	high
62296	Fedora 18：icedtea-web-1.3-1.fc18 (2012-14370)	Nessus	Fedora Local Security Checks	2012/9/26	2021/1/11	high
61406	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 icedtea-web	Nessus	Scientific Linux Local Security Checks	2012/8/3	2021/1/14	high
61972	Mandriva Linux 安全性公告：icedtea-web (MDVSA-2012:122)	Nessus	Mandriva Local Security Checks	2012/9/6	2021/1/6	high
68953	SuSE 11.3 安全性更新：icedtea-web (SAT 修補程式編號 7981)	Nessus	SuSE Local Security Checks	2013/7/18	2021/1/19	high
74711	openSUSE 安全性更新：icedtea-web (openSUSE-SU-2012:0981-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
74712	openSUSE 安全性更新：icedtea-web (openSUSE-SU-2012:0982-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical
61380	Ubuntu 10.04 LTS / 11.04 / 11.10 / 12.04 LTS：icedtea-web 弱點 (USN-1521-1)	Nessus	Ubuntu Local Security Checks	2012/8/1	2019/9/19	high
66741	SuSE 11.2 安全性更新：icedtea-web (SAT 修補程式編號 7742)	Nessus	SuSE Local Security Checks	2013/6/2	2021/1/19	high
67094	CentOS 6：icedtea-web (CESA-2012:1132)	Nessus	CentOS Local Security Checks	2013/6/29	2021/1/4	high
68590	Oracle Linux 6 : icedtea-web (ELSA-2012-1132)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
75010	openSUSE 安全性更新：icedtea-web (openSUSE-SU-2013:0893-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
61378	RHEL 6 : icedtea-web (RHSA-2012:1132)	Nessus	Red Hat Local Security Checks	2012/8/1	2024/4/27	critical

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

critical

high

high

high

high

high

critical