遠端主機上安裝的 IBM Java 版本為 6.0 < 6.0.16.25 / 6.1 < 6.1.8.25 / 7.0 < 7.0.9.40 / 7.1 < 7.1.3.40 / 8.0 < 8.0.3.0。因此，其會受到 2016 年 4 月 IBM 安全性更新公告中提及的多個弱點影響。

  - IBM SDK, Java Technology Edition 6 至 SR16 FP25 (6.0.16.25)、6 R1 至 SR8 FP25 (6.1.8.25)、7 至 SR9 FP40 (7.0.9.40)、7 R1 至 SR3 FP40 (7.1.3.40) 以及 8 至 SR3 (8.0.3.0) 版本的 Java 虛擬機 (JVM) 中有緩衝區溢出弱點，進而允許遠端攻擊者透過不明向量執行任意程式碼。(CVE-2016-0264)

  - 在 IBM SDK, Java Technology Edition 6 至 SR16 FP25 (6.0.16.25)、6 R1 至 SR8 FP25 (6.1.8.25)、7 至 SR9 FP40 (7.0.9.40)、7 R1 至 SR3 FP40 (7.1.3.40) 以及 8 至 SR3 (8.0.3.0) 版本中，com.ibm.CORBA.iiop.ClientDelegate 類別會在 AccessController doPrivileged 區塊中使用 java.lang.reflect.Method 類別叫用方法，進而允許遠端攻擊者透過與實作 java.lang.reflect.InvocationHandler 介面之 Proxy 物件執行個體相關的向量，呼叫 setSecurityManager 並繞過沙箱保護機制。注意：此弱點是 CVE-2013-3009 的修正不完整所致。(CVE-2016-0363)

  - 在 IBM SDK, Java Technology Edition 6 至 SR16 FP25 (6.0.16.25)、6 R1 至 SR8 FP25 (6.1.8.25)、7 至 SR9 FP40 (7.0.9.40)、7 R1 至 SR3 FP40 (7.1.3.40) 以及 8 至 SR3 (8.0.3.0) 版本中，com.ibm.rmi.io.SunSerializableFactory 類別無法正確還原序列化 AccessController doPrivileged 區塊中的類別，進而允許遠端攻擊者繞過沙箱保護機制並執行任意程式碼，用於實作 javax.rmi.CORBA.ValueHandler 介面的 com.ibm.rmi.io.ValueHandlerPool.ValueHandlerSingleton 類別的 readValue 方法即為其中一例。注意：此弱點是 CVE-2013-5456 的修正不完整所致。(CVE-2016-0376)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

IBM Java 6.0 < 6.0.16.25 / 6.1 < 6.1.8.25 / 7.0 < 7.0.9.40 / 7.1 < 7.1.3.40 / 8.0 < 8.0.3.0 多個弱點 (2016 年 4 月 1 日)

high Nessus Plugin ID 160367

版本 1.5