在 OpenJDK 中的 Beans、Libraries、Swing 和 JMX 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2012-5086、CVE-2012-5087、CVE-2012-5088、CVE-2012-5084、CVE-2012-5089)

預設的 Java 安全性內容組態無法限制對某些 com.sun.xml.internal 套件的存取。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。此更新將該類套件列為受限制。
(CVE-2012-5076、CVE-2012-5074)

在 OpenJDK 的 Scripting、JMX、Concurrency、Libraries 和 Security 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2012-5068、CVE-2012-5071、CVE-2012-5069、CVE-2012-5073、CVE-2012-5072)

據發現，java.util.ServiceLoader 可在執行供應商查閱時，建立不相容的類別執行個體。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。(CVE-2012-5079)

據發現，Java Secure Socket Extension (JSSE) SSL/TLS 實作並未正確處理包含過大資料長度值的交握記錄。未經驗證的遠端攻擊者可能利用此瑕疵，造成 SSL/TLS 伺服器因例外狀況而終止。(CVE-2012-5081)

據發現，OpenJDK 中的 JMX 元件可以不安全的方式執行特定動作。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵而洩漏敏感資訊。(CVE-2012-5070、CVE-2012-5075)

Java HotSpot 虛擬機器最佳化程式碼中的錯誤可導致其在特定情況下不執行陣列初始化。未受信任的 Java 應用程式或 applet 可利用此瑕疵而洩漏部分虛擬機器記憶體。(CVE-2012-4416)

據發現，SecureRandom 類別並未正確防止多個種子產生器的建立。未受信任的 Java 應用程式或 applet 可能利用此瑕疵而洩漏敏感資訊。(CVE-2012-5077)

據發現，java.io.FilePermission 類別會洩漏規範化路徑名稱的雜湊程式碼。未受信任的 Java 應用程式或 applet 可能利用此瑕疵而終止某些系統路徑，例如目前工作中的目錄。
(CVE-2012-3216)

此更新預設會停用 java.net 套件中的 Gopher 通訊協定支援。若要啟用 Gopher 支援，可以將新引入的內容「jdk.net.registerGopherProtocol」設為 true。
(CVE-2012-5085)

此 erratum 也會將 OpenJDK 套件升級至 IcedTea7 2.3.3。

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

遠端主機上安裝的 Oracle (前身為 Sun) Java SE 或 Java for Business 版本比 7 Update 9 / 6 Update 37 / 5.0 Update 38 / 1.4.2_40 舊，因此可能受到以下元件中安全性問題的影響：

- 2D
 - Beans
 - Concurrency
 - Deployment
 - Hotspot
 - JAX-WS
 - JMX
 - JSSE
 - Libraries
 - Networking
 - Security
 - Swing

現已提供適用於 Red Hat Enterprise Linux 6 Supplementary 的更新版 java-1.7.0-oracle 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Oracle Java SE 7 版包含 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit。

此更新可修正 Oracle Java Runtime Environment 和 Oracle Java Software Development Kit 中的數個弱點。如需這些瑕疵的詳細資訊，請參閱 Oracle Java SE 重要修補程式更新公告頁面的＜參照＞一節內容。
CVE-2012-1531 CVE-2012-1532 CVE-2012-1533 CVE-2012-3143 CVE-2012-3159 CVE-2012-3216 CVE-2012-4416 CVE-2012-5067 CVE-2012-5068 CVE-2012-5069 CVE-2012-5070 CVE-2012-5071 CVE-2012-5072 CVE-2012-5073 CVE-2012-5074 CVE-2012-5075 CVE-2012-5076 CVE-2012-5077 CVE-2012-5079 CVE-2012-5081 CVE-2012-5083 CVE-2012-5084 CVE-2012-5085 CVE-2012-5086 CVE-2012-5087 CVE-2012-5088 CVE-2012-5089

建議所有 java-1.7.0-oracle 使用者皆升級至這些更新版套件，其中提供 Oracle Java 7 Update 9。必須重新啟動 Oracle Java 所有執行中的執行個體，此更新才會生效。

IBM Java 1.7.0 已更新至 SR3，可修正錯誤和安全性問題。

如需詳細資訊，請參閱下列網址：

http://www.ibm.com/developerworks/java/jdk/alerts/

修正的 CVE：CVE-2012-3159 / CVE-2012-3216 / CVE-2012-5070 / CVE-2012-5067 / CVE-2012-3143 / CVE-2012-5076 / CVE-2012-5077 / CVE-2012-5073 / CVE-2012-5074 / CVE-2012-5075 / CVE-2012-5083 / CVE-2012-5083 / CVE-2012-5072 / CVE-2012-1531 / CVE-2012-5081 / CVE-2012-1532 / CVE-2012-1533 / CVE-2012-5069 / CVE-2012-5071 / CVE-2012-5084 / CVE-2012-5087 / CVE-2012-5086 / CVE-2012-5079 / CVE-2012-5088 / CVE-2012-5089

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 java-1.7.0-openjdk 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

[更新於 2012 年 11 月 13 日] 此公告的檔案清單已更新，以將 java-1.7.0-openjdk-devel 從選項存放庫移至基本存放庫。此外，也移動了 HPC 節點變體的 java-1.7.0-openjdk (此套件已存在於基本存放庫中，供其他產品變體使用)。尚未對套件本身進行任何變更。

這些套件提供 OpenJDK 7 Java Runtime Environment 與 OpenJDK 7 Software Development Kit。

在 OpenJDK 中的 Beans、Libraries、Swing 和 JMX 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2012-5086、CVE-2012-5087、CVE-2012-5088、CVE-2012-5084、CVE-2012-5089)

預設的 Java 安全性內容組態無法限制對某些 com.sun.xml.internal 套件的存取。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。此更新將該類套件列為受限制。
(CVE-2012-5076、CVE-2012-5074)

在 OpenJDK 的 Scripting、JMX、Concurrency、Libraries 和 Security 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2012-5068、CVE-2012-5071、CVE-2012-5069、CVE-2012-5073、CVE-2012-5072)

據發現，java.util.ServiceLoader 可在執行供應商查閱時，建立不相容的類別執行個體。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。(CVE-2012-5079)

據發現，Java Secure Socket Extension (JSSE) SSL/TLS 實作並未正確處理包含過大資料長度值的交握記錄。未經驗證的遠端攻擊者可能利用此瑕疵，造成 SSL/TLS 伺服器因例外狀況而終止。(CVE-2012-5081)

據發現，OpenJDK 中的 JMX 元件可以不安全的方式執行特定動作。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵而洩漏敏感資訊。(CVE-2012-5070、CVE-2012-5075)

Java HotSpot 虛擬機器最佳化程式碼中的錯誤可導致其在特定情況下不執行陣列初始化。未受信任的 Java 應用程式或 applet 可利用此瑕疵而洩漏部分虛擬機器記憶體。(CVE-2012-4416)

據發現，SecureRandom 類別並未正確防止多個種子產生器的建立。未受信任的 Java 應用程式或 applet 可能利用此瑕疵而洩漏敏感資訊。(CVE-2012-5077)

據發現，java.io.FilePermission 類別會洩漏規範化路徑名稱的雜湊程式碼。未受信任的 Java 應用程式或 applet 可能利用此瑕疵而終止某些系統路徑，例如目前工作中的目錄。
(CVE-2012-3216)

此更新預設會停用 java.net 套件中的 Gopher 通訊協定支援。若要啟用 Gopher 支援，可以將新引入的內容「jdk.net.registerGopherProtocol」設為 true。
(CVE-2012-5085)

此 erratum 也會將 OpenJDK 套件升級至 IcedTea7 2.3.3。
請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

遠端 VMware ESX / ESXi 主機缺少安全性相關修補程式。
因此受到數個元件與第三方程式庫中的多個弱點影響，包括遠端程式碼執行弱點：

- Java Runtime Environment (JRE)
 - 網路檔案複製 (NFC) 通訊協定
 - OpenSSL

來自 Red Hat 安全性公告 2012:1386：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 java-1.7.0-openjdk 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

[更新於 2012 年 11 月 13 日] 此公告的檔案清單已更新，以將 java-1.7.0-openjdk-devel 從選項存放庫移至基本存放庫。此外，也移動了 HPC 節點變體的 java-1.7.0-openjdk (此套件已存在於基本存放庫中，供其他產品變體使用)。尚未對套件本身進行任何變更。

這些套件提供 OpenJDK 7 Java Runtime Environment 與 OpenJDK 7 Software Development Kit。

在 OpenJDK 中的 Beans、Libraries、Swing 和 JMX 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。(CVE-2012-5086、CVE-2012-5087、CVE-2012-5088、CVE-2012-5084、CVE-2012-5089)

預設的 Java 安全性內容組態無法限制對某些 com.sun.xml.internal 套件的存取。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。此更新將該類套件列為受限制。
(CVE-2012-5076、CVE-2012-5074)

在 OpenJDK 的 Scripting、JMX、Concurrency、Libraries 和 Security 元件中，發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2012-5068、CVE-2012-5071、CVE-2012-5069、CVE-2012-5073、CVE-2012-5072)

據發現，java.util.ServiceLoader 可在執行供應商查閱時，建立不相容的類別執行個體。未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。(CVE-2012-5079)

據發現，Java Secure Socket Extension (JSSE) SSL/TLS 實作並未正確處理包含過大資料長度值的交握記錄。未經驗證的遠端攻擊者可能利用此瑕疵，造成 SSL/TLS 伺服器因例外狀況而終止。(CVE-2012-5081)

據發現，OpenJDK 中的 JMX 元件可以不安全的方式執行特定動作。未受信任的 Java 應用程式或 applet 可能利用這些瑕疵而洩漏敏感資訊。(CVE-2012-5070、CVE-2012-5075)

Java HotSpot 虛擬機器最佳化程式碼中的錯誤可導致其在特定情況下不執行陣列初始化。未受信任的 Java 應用程式或 applet 可利用此瑕疵而洩漏部分虛擬機器記憶體。(CVE-2012-4416)

據發現，SecureRandom 類別並未正確防止多個種子產生器的建立。未受信任的 Java 應用程式或 applet 可能利用此瑕疵而洩漏敏感資訊。(CVE-2012-5077)

據發現，java.io.FilePermission 類別會洩漏規範化路徑名稱的雜湊程式碼。未受信任的 Java 應用程式或 applet 可能利用此瑕疵而終止某些系統路徑，例如目前工作中的目錄。
(CVE-2012-3216)

此更新預設會停用 java.net 套件中的 Gopher 通訊協定支援。若要啟用 Gopher 支援，可以將新引入的內容「jdk.net.registerGopherProtocol」設為 true。
(CVE-2012-5085)

此 erratum 也會將 OpenJDK 套件升級至 IcedTea7 2.3.3。
請參閱 NEWS 檔案 (<參照>一節中有連結)，瞭解詳細資訊。

建議所有 java-1.7.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

java-1_7_0-opendjk 已更新至 icedtea-2.3.3 (bnc#785814)

- 安全性修正：

- S6631398、CVE-2012-3216：FilePermission 改善路徑檢查

- S7093490：調整 rmiregistry 中的套件存取

- S7143535、CVE-2012-5068：ScriptEngine 更正了權限

- S7158796、CVE-2012-5070：加強 EnvHelp 中的內容檢查

- S7158807：修訂可變更的呼叫網站的堆疊管理

- S7163198、CVE-2012-5076：加強套件協助工具

- S7167656、CVE-2012-5077：正在建立多個種子產生器

- S7169884、CVE-2012-5073：LogManager 檢查未針對子類型正確運作

- S7169887、CVE-2012-5074：加強套件協助工具

- S7169888、CVE-2012-5075：縮小 JMX RMI 連接器中的資源定義範圍

- S7172522、CVE-2012-5072：改善 DomainCombiner 檢查

- S7186286、CVE-2012-5081：TLS 實作更加符合 RFC

- S7189103、CVE-2012-5069：執行程式需要維持狀態

- S7189490：更多 DomainCombiner 檢查的改善

- S7189567、CVE-2012-5085：java net 舊版通訊協定

- S7192975、CVE-2012-5071：JMX 反映的問題

- S7195194、CVE-2012-5084：改善 Swing 的資料驗證

- S7195549, CVE-2012-5087：改善 bean 物件持續性

- S7195917、CVE-2012-5086：結束時間的 XMLDecoder 剖析應加以改善

- S7195919、CVE-2012-5079：(sl) ServiceLoader 可擲回 CCE 且不需要建立執行個體

- S7196190、CVE-2012-5088：改善處理 MethodHandles 的方法

- S7198296、CVE-2012-5089：重構類別載入器使用量

- S7158800：改善符號表格的儲存

- S7158801：改善 VM CompileOnly 選項

- S7158804：改善組態檔剖析

- S7198606、CVE-2012-4416：改善虛擬機器最佳化

- 錯誤修正

- 移除合併 artefact。

在 OpenJDK JRE 中發現數個資訊洩漏弱點。(CVE-2012-3216、CVE-2012-5069、CVE-2012-5072、CVE-2012-5075、CVE-2012-5077、CVE-2012-5085)

在 OpenJDK JRE 中發現與資訊洩漏和資料完整性相關的弱點。(CVE-2012-4416、CVE-2012-5071)

在 OpenJDK JRE 中發現數個與資訊洩漏和資料完整性相關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務。(CVE-2012-1531、CVE-2012-1532、CVE-2012-1533、CVE-2012-3143、CVE-2012-3159、CVE-2012-5068、CVE-2012-5083、CVE-2012-5084、CVE-2012-5086、CVE-2012-5089)

在 OpenJDK JRE 中發現資訊洩漏弱點。這些問題只會影響 Ubuntu 12.10。(CVE-2012-5067、CVE-2012-5070)

在 OpenJDK JRE 中發現與資料完整性相關的弱點。(CVE-2012-5073、CVE-2012-5079)

在 OpenJDK JRE 中發現一個與資訊洩漏和資料完整性相關的弱點。此問題只會影響 Ubuntu 12.10。(CVE-2012-5074)

在 OpenJDK JRE 中發現數個與資訊洩漏和資料完整性相關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務。這些問題只會影響 Ubuntu 12.10。(CVE-2012-5076、CVE-2012-5087、CVE-2012-5088)

在 OpenJDK 中發現一個拒絕服務弱點。
(CVE-2012-5081)

如需詳細資訊，請參閱下列網頁：
http://www.oracle.com/technetwork/topics/security/javacpuoct2012-1515924.html。

IBM Java 1.7.0 已更新至 SR3，可修正錯誤和安全性問題。

如需詳細資訊，請參閱下列網址：

http://www.ibm.com/developerworks/java/jdk/alerts/

修正的 CVE：CVE-2012-3159、CVE-2012-3216、CVE-2012-5070、CVE-2012-5067、CVE-2012-3143、CVE-2012-5076、CVE-2012-5077、CVE-2012-5073、CVE-2012-5074、CVE-2012-5075、CVE-2012-5083、CVE-2012-5083、CVE-2012-5072、CVE-2012-1531、CVE-2012-5081、CVE-2012-1532、CVE-2012-1533、CVE-2012-5069、CVE-2012-5071、CVE-2012-5084、CVE-2012-5087、CVE-2012-5086、CVE-2012-5079、CVE-2012-5088、CVE-2012-5089

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已將 java-openjdk 升級至 1.11.5 版，可修正多種安全性和非安全性問題。

現已提供適用於 Red Hat Enterprise Linux 6 Supplementary 的更新版 java-1.7.0-ibm 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM Java SE 版本 7 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。IBM 「安全性警示」頁面會詳細說明這些弱點，如<參照>一節中所列。CVE-2012-1531 CVE-2012-1532 CVE-2012-1533 CVE-2012-1718 CVE-2012-3143 CVE-2012-3159 CVE-2012-3216 CVE-2012-4820 CVE-2012-4821 CVE-2012-4822 CVE-2012-4823 CVE-2012-5067 CVE-2012-5069 CVE-2012-5070 CVE-2012-5071 CVE-2012-5072 CVE-2012-5073 CVE-2012-5074 CVE-2012-5075 CVE-2012-5076 CVE-2012-5077 CVE-2012-5079 CVE-2012-5081 CVE-2012-5083 CVE-2012-5084 CVE-2012-5086 CVE-2012-5087 CVE-2012-5088 CVE-2012-5089

建議所有 java-1.7.0-ibm 使用者皆升級至這些更新版套件，其中包含 IBM Java SE 7 SR3 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

遠端主機受到 GLSA-201401-30 中所述弱點的影響 (Oracle JRE/JDK：多個弱點)

Oracle Java 實作中已報告有多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

未經驗證的遠端攻擊者可惡意利用這些弱點來執行任意程式碼。
 此外，本機或遠端攻擊者可惡意利用這些弱點造成不明影響，其中可能包含遠端任意程式碼執行。
 因應措施：

目前尚無已知的因應措施。

遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
62653	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 java-1.7.0-openjdk	Nessus	Scientific Linux Local Security Checks	2012/10/22	2022/3/29	critical
64849	Oracle Java SE 多個弱點 (2012 年 10 月 CPU) (Unix)	Nessus	Misc.	2013/2/22	2022/4/11	critical
62635	RHEL 6 : java-1.7.0-oracle (RHSA-2012:1391)	Nessus	Red Hat Local Security Checks	2012/10/19	2022/3/29	critical
64171	SuSE 11.2 安全性更新：IBM Java 1.7.0 (SAT 修補程式編號 7046)	Nessus	SuSE Local Security Checks	2013/1/25	2022/3/29	critical
62615	RHEL 6：java-1.7.0-openjdk (RHSA-2012:1386)	Nessus	Red Hat Local Security Checks	2012/10/18	2024/4/27	medium
89663	VMware ESX / ESXi NFC 和第三方程式庫多個弱點 (VMSA-2013-0003) (遠端檢查)	Nessus	Misc.	2016/3/4	2022/3/29	critical
62593	Oracle Java SE 多種弱點 (2012 年 10 月 CPU)	Nessus	Windows	2012/10/17	2022/4/11	critical
68646	Oracle Linux 6 : java-1.7.0-openjdk (ELSA-2012-1386)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2022/3/29	critical
74793	openSUSE 安全性更新：java-1_7_0-openjdk (openSUSE-SU-2012:1419-1)	Nessus	SuSE Local Security Checks	2014/6/13	2022/3/29	critical
62598	CentOS 6 : java-1.7.0-openjdk (CESA-2012:1386)	Nessus	CentOS Local Security Checks	2012/10/18	2022/3/29	critical
62709	Ubuntu 10.04 LTS / 11.04 / 11.10 / 12.04 LTS / 12.10：openjdk-6、openjdk-7 弱點 (USN-1619-1)	Nessus	Ubuntu Local Security Checks	2012/10/26	2022/3/29	critical
83567	SUSE SLES11 安全性更新：IBM Java 1.7.0 (SUSE-SU-2012:1489-2)	Nessus	SuSE Local Security Checks	2015/5/20	2022/3/29	critical
64169	SuSE 11.2 安全性更新：OpenJDK (SAT 修補程式編號 6987)	Nessus	SuSE Local Security Checks	2013/1/25	2022/3/29	critical
62932	RHEL 6 : java-1.7.0-ibm (RHSA-2012:1467)	Nessus	Red Hat Local Security Checks	2012/11/16	2022/3/29	critical
72139	GLSA-201401-30：Oracle JRE/JDK：多個弱點	Nessus	Gentoo Local Security Checks	2014/1/27	2022/12/5	critical
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

medium

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical