在 OpenJDK JRE 中發現數個與資訊洩漏、資料完整性和可用性有關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務，或透過網路洩漏敏感資料。(CVE-2015-0460、CVE-2015-0469)

Alexander Cherepanov 發現，OpenJDK JRE 容易受到與 jar 檔案處理方式相關的目錄遊走問題影響。攻擊者可能會利用此弱點揭露敏感資料。(CVE-2015-0480)

Florian Weimer 發現在 OpenJDK JRE 的 JCE 元件中，RSA 實作未遵循建議的 RSA 簽章實作作法。攻擊者可能會利用此弱點揭露敏感資料。(CVE-2015-0478)

在 OpenJDK JRE 中發現與資料完整性有關的弱點。攻擊者可能會惡意利用此弱點，透過網路洩漏敏感資料。(CVE-2015-0477)

在 OpenJDK JRE 中發現一個與可用性相關的弱點。攻擊者可惡意利用這些弱點造成拒絕服務。(CVE-2015-0488)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

OpenJDK 已更新至 2.5.5 版- OpenJDK 7u79，修正了數個安全性問題和錯誤。

已修正下列弱點：

- Deployment：未經驗證的遠端攻擊者可透過多個通訊協定執行任意程式碼。
 (CVE-2015-0458)

- 2D：未經驗證的遠端攻擊者可透過多個通訊協定執行任意程式碼。(CVE-2015-0459)

- Hotspot：未經驗證的遠端攻擊者可透過多個通訊協定執行任意程式碼。(CVE-2015-0460)

- 2D：未經驗證的遠端攻擊者可透過多個通訊協定執行任意程式碼。(CVE-2015-0469)

- Beans：未經驗證的遠端攻擊者可透過多個通訊協定更新、插入或刪除部分可供存取之 JAVA 資料。(CVE-2015-0477)

- JCE：未經驗證的遠端攻擊者可透過多個通訊協定讀取部分可供存取之 JAVA 資料。
 (CVE-2015-0478)

- Tools：未經驗證的遠端攻擊者可透過多個通訊協定更新、插入或刪除部分可供存取之 JAVA 資料，並且造成部分拒絕服務 (部分 DOS)。(CVE-2015-0480)

- JavaFX：未經驗證的遠端攻擊者可透過多個通訊協定讀取、更新、插入或刪除部分可供存取之 Java 資料，並且造成部分拒絕服務 (部分 DOS)。(CVE-2015-0484)

- JSSE：未經驗證的遠端攻擊者可造成部分拒絕服務 (部分 DOS)。(CVE-2015-0488)

- 2D：未經驗證的遠端攻擊者可透過多個通訊協定執行任意程式碼。(CVE-2015-0491)

- JavaFX：未經驗證的遠端攻擊者可透過多個通訊協定執行任意程式碼。(CVE-2015-0492)

java-1_7_0-ibm 套件已更新至 7.0-9.20 版，修正了數個安全性和非安全性問題：

- bnc#955131：版本更新至 7.0-9.20：CVE-2015-4734 CVE-2015-4803 CVE-2015-4805 CVE-2015-4806 CVE-2015-4810 CVE-2015-4835 CVE-2015-4840 CVE-2015-4842 CVE-2015-4843 CVE-2015-4844 CVE-2015-4860 CVE-2015-4871 CVE-2015-4872 CVE-2015-4882 CVE-2015-4883 CVE-2015-4893 CVE-2015-4902 CVE-2015-4903 CVE-2015-4911 CVE-2015-5006

- 為 sdkdir 新增向後相容符號連結

- bnc#941939：進行修正，以便在 _jvmprivdir 中提供 %{name} 而非只提供 %{sdklnk}

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Windows 主機上安裝的 Oracle JRockit 版本受到多個弱點影響：

- 存在一個稱為 FREAK (RSA-EXPORT 金鑰的分解攻擊) 的安全性功能繞過弱點，這是因為支援具有小於或等於 512 位元金鑰的弱式 EXPORT_RSA 加密套件所致。攔截式攻擊者可降級 SSL/TLS 連線以使用 EXPORT_RSA 加密套件，該套件可在短時間內遭到分解，進而允許攻擊者攔截和解密流量。(CVE-2015-0204)

- Java Cryptography Extension (JCE) 子元件中存在一個因 RSA 簽章之實作錯誤造成的瑕疵。遠端攻擊者可惡意利用此瑕疵來洩漏敏感資訊。(CVE-2015-0478)

- JSSE 子元件中存在一個因不當剖析 X.509 憑證選項造成的瑕疵。遠端攻擊者可惡意利用此瑕疵觸發應用程式終止，進而導致拒絕服務。
 (CVE-2015-0488)

ID	名稱	產品	系列	已發布	已更新	嚴重性
82992	Ubuntu 14.04 LTS：OpenJDK 7 弱點 (USN-2574-1)	Nessus	Ubuntu Local Security Checks	2015/4/22	2023/10/23	medium
83287	SuSE 11.3 安全性更新：java-1_7_0-openjdk (SAT 修補程式編號 10621)	Nessus	SuSE Local Security Checks	2015/5/8	2021/1/6	critical
87277	SUSE SLES11 安全性更新：java-1_7_0-ibm (SUSE-SU-2015:2216-1) (FREAK)	Nessus	SuSE Local Security Checks	2015/12/9	2022/3/8	critical
82830	Oracle JRockit R28.3.5 多個弱點 (2015 年 4 月 CPU) (FREAK)	Nessus	Windows	2015/4/16	2019/11/22	medium

偵測

搜尋 Plugin

medium

critical

critical

medium