Oracle 重要修補程式更新公告 - 2014 年 10 月

描述：

重要修補程式更新 (CPU) 是多個安全性弱點的修補程式集合。

如需詳細資訊，請參閱：
http://www.oracle.com/technetwork/topics/security/cpuoct2014-1972960.html

遠端 Redhat Enterprise Linux 5/6 主機上安裝的套件受到 RHSA-2015:0264 公告中提及的多個弱點影響。

  - IBM JDK：共用類別快取造成的權限提升 (CVE-2014-3065)

  - IBM JDK：Java CMS keystore 提供者可能允許復原遭暴力破解的私密金鑰 (CVE-2014-3068)

  - IBM JDK：權限提升問題 (CVE-2014-3086)

  - SSL/TLS：降級的舊版 Padding Oracle 加密攻擊 (CVE-2014-3566)

  - OpenJDK：SubjectDelegator 保護不足 (JMX，8029755) (CVE-2014-4209)

  - OpenJDK：複製介面傳遞至 proxy 方法 (Libraries，8035009) (CVE-2014-4218)

  - OpenJDK：位元組程式碼驗證無法防止 ctor 呼叫 this() 和 super() (Hotspot，8035119) (CVE-2014-4219)

  - Oracle JDK：已修正 6u81、7u65 和 8u11 中的不明弱點 (部署) (CVE-2014-4227、CVE-2014-4265)

  - OpenJDK：RSA 偽裝問題 (Security，8031346) (CVE-2014-4244)

  - OpenJDK：防止採用非公開建構函式的服務具現化 (Security，8035004) (CVE-2014-4252)

  - OpenJDK：AtomicReferenceFieldUpdater 缺少原始類型檢查 (Libraries，8039520) (CVE-2014-4262)

  - OpenJDK：Diffie-Hellman 公開金鑰驗證不足 (Security，8037162) (CVE-2014-4263)

  - Oracle JDK：已修正 6u85、7u71 和 8u25 中的不明弱點 (部署) (CVE-2014-4288、CVE-2014-6458、CVE-2014-6492、CVE-2014-6493、CVE-2014-6503、CVE-2014-6515、CVE-2014-6532)

  - OpenJDK：針對 TLS/SSL 連線的三重交握攻擊 (JSSE，8037066) (CVE-2014-6457)

  - OpenJDK：載入 ResourceBundle 時，LogRecord 使用的 CL 不正確 (Libraries，8042797) (CVE-2014-6502)

  - OpenJDK：在系統記錄器上設定資源組合時，權限檢查不足 (Libraries，8041564) (CVE-2014-6506)

  - ICU：配置引擎 ContextualSubstitution 缺少邊界檢查 (JDK 2D，8041540) (CVE-2014-6511)

  - OpenJDK：DatagramSocket 連線通訊端缺少來源檢查 (Libraries，8039509) (CVE-2014-6512)

  - OpenJDK：ResourceBundle 名稱檢查不足 (Libraries，8044274) (CVE-2014-6531)

  - OpenJDK：CipherInputStream 不正確的例外狀況處理 (Security，8037846) (CVE-2014-6558)

  - ICU：字型剖析 OOB 讀取 (OpenJDK 2D，8055489) (CVE-2014-6585)

  - OpenJDK：MulticastSocket NULL 指標解除參照 (Libraries，8056264) (CVE-2014-6587)

  - ICU：字型剖析 OOB 讀取 (OpenJDK 2D，8056276) (CVE-2014-6591)

  - OpenJDK：SSL/TLS 交握期間未正確追蹤 ChangeCipherSpec (JSSE，8057555) (CVE-2014-6593)

  - IBM JDK：已修正 2015 年 2 月更新中的不明完整 Java Sandbox 繞過問題 (CVE-2014-8891)

  - IBM JDK：已修正 2015 年 2 月更新中的不明部分 Java 沙箱繞過問題 (CVE-2014-8892)

  - OpenJDK：記憶體回收行程中存在虛設參照處理問題 (Hotspot，8047125) (CVE-2015-0395)

  - Oracle JDK：已修正 6u91、7u75 和 8u31 中的不明弱點 (部署) (CVE-2015-0403、CVE-2015-0406)

  - OpenJDK：透過檔案選擇器造成目錄資訊洩漏 (Swing，8055304) (CVE-2015-0407)

  - OpenJDK：RMI 傳輸過程中使用的內容類別載入器不正確 (RMI，8055309) (CVE-2015-0408)

  - OpenJDK：DER 解碼器無限迴圈 (Security，8059485) (CVE-2015-0410)

  - OpenJDK：程式碼權限檢查不足 (JAX-WS，8054367) (CVE-2015-0412)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 6 / 7 主機上安裝的套件受到 RHSA-2014:1880 公告中提及的多個弱點影響。

    IBM Java SE 版本 7 發行版本 1 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

    此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。有關弱點的詳細描述，請查閱〈參考資料〉一節所列的 IBM「安全性警示」頁面連結。(CVE-2014-3065、CVE-2014-3566、CVE-2014-4288、CVE-2014-6456、CVE-2014-6457、CVE-2014-6458、CVE-2014-6476、CVE-2014-6492、CVE-2014-6493、CVE-2014-6502、CVE-2014-6503、CVE-2014-6506、CVE-2014-6511、CVE-2014-6512、CVE-2014-6515、CVE-2014-6527、CVE-2014-6531、CVE-2014-6532、CVE-2014-6558)

    CVE-2014-6512 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

    注意：透過此更新，IBM SDK 現在停用了 SSL 3.0 通訊協定，藉此解決 CVE-2014-3566 問題 (亦稱為 POODLE)。請參閱＜參照＞一節中連結提供的 IBM 文章，瞭解更多有關此變更的資訊，以及在必要時如何重新啟用 SSL 3.0 支援的指示說明。

    建議所有 java-1.7.1-ibm 使用者皆升級至這些更新版套件，其中含有 IBM Java SE 7R1 SR2 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，更新才能生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

java-1_7_0-ibm 已更新至 1.7.0_sr7.2 版，可修正 21 個安全性問題。

已修正這些安全性問題：

- 不明弱點。(CVE-2014-3065)

- 1.0.1i 及其之前版本的 OpenSSL 及其他產品中所用的 SSL 通訊協定 3.0 會使用不具決定性的 CBC 填補，這讓攔截式攻擊者更容易透過填補 oracle 攻擊取得純文字資料 (即「POODLE」問題)。(CVE-2014-3566)

- Oracle Java SE 6u81、7u67 和 8u20，以及 Java SE Embedded 7u60 中有一個不明弱點，會讓遠端攻擊者透過與 AWT 相關的向量，影響機密性、完整性和可用性。(CVE-2014-6513)

Oracle Java SE 7u67 和 8u20 中有一個不明弱點，允許遠端攻擊者透過未知向量，影響機密性、完整性和可用性。
 (CVE-2014-6456)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量，影響機密性、完整性和可用性；該弱點和 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6532 不同。
 (CVE-2014-6503)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量，影響機密性、完整性和可用性；該弱點和 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6503 不同。
 (CVE-2014-6532)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量，影響機密性、完整性和可用性；該弱點和 CVE-2014-6493 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-4288)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量，影響機密性、完整性和可用性；該弱點和 CVE-2014-4288 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-6493)

- Oracle Java SE 6u81、7u67 和 8u20 在 Firefox 中執行時會出現一個不明弱點，這會讓遠端攻擊者透過與部署相關的未知向量，影響機密性、完整性和可用性。
 (CVE-2014-6492)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓本機使用者透過與部署相關的未知向量，影響機密性、完整性和可用性。(CVE-2014-6458)

- Oracle Java SE 6u81、7u67 和 8u20 在 Internet Explorer 中執行時會出現一個不明弱點，會讓本機使用者透過與部署相關的未知向量，影響機密性、完整性和可用性。
 (CVE-2014-6466)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20，以及 Java SE Embedded 7u60 中有一個不明弱點，會讓遠端攻擊者透過與程式庫相關的未知向量，影響機密性、完整性和可用性。(CVE-2014-6506)

- Oracle Java SE 7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量影響完整性；該弱點和 CVE-2014-6527 不同。(CVE-2014-6476)

- Oracle Java SE 6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量影響完整性。(CVE-2014-6515)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與 2D 相關的未知向量影響機密性。
 (CVE-2014-6511)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20，以及 Java SE Embedded 7u60 中有一個不明弱點，會讓遠端攻擊者透過與程式庫相關的未知向量影響機密性。(CVE-2014-6531)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20、Java SE Embedded 7u60，以及 JRockit R27.8.3 和 R28.3.3 中有一個不明弱點，會讓遠端攻擊者透過與程式庫相關的未知向量影響完整性。
 (CVE-2014-6512)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20、Java SE Embedded 7u60，以及 JRockit R27.8.3 和 R28.3.3 中有一個不明弱點，會讓遠端攻擊者透過與 JSSE 相關的向量影響機密性和完整性。(CVE-2014-6457)

- Oracle Java SE 7u67 和 8u20 中有一個不明弱點，會讓遠端攻擊者透過與部署相關的未知向量影響完整性；該弱點和 CVE-2014-6476 不同。(CVE-2014-6527)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20，以及 Java SE Embedded 7u60 中有一個不明弱點，會讓遠端攻擊者透過與程式庫相關的未知向量影響完整性。(CVE-2014-6502)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20、Java SE Embedded 7u60，以及 JRockit R27.8.3 和 JRockit R28.3.3 中有一個不明弱點，會讓遠端攻擊者透過與安全性相關的未知向量影響完整性。(CVE-2014-6558)

如需詳細資訊，請參閱 http://www.ibm.com/developerworks/java/jdk/alerts/#IBM_Security_Update
_November_2014

远程主机受到 GLSA-201502-12 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

在 Oracle 的 Java SE 开发工具包和运行时环境中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

上下文有关的攻击者可能能够执行任意代码，泄露、更新、插入或删除某些数据。
 变通方案：

目前无任何已知的变通方案。

远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2014:1876 公告中提及的多个漏洞的影响。

    IBM Java SE 版本 7 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

    此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。详细的漏洞描述信息链接自 IBM“安全警报”页面，此页面列于“参考”部分。(CVE-2014-3065, CVE-2014-3566, CVE-2014-4288, CVE-2014-6456, CVE-2014-6457, CVE-2014-6458, CVE-2014-6476, CVE-2014-6492, CVE-2014-6493, CVE-2014-6502, CVE-2014-6503, CVE-2014-6506, CVE-2014-6511, CVE-2014-6512, CVE-2014-6515, CVE-2014-6527, CVE-2014-6531, CVE-2014-6532, CVE-2014-6558)

    CVE-2014-6512 问题由 Red Hat 产品安全的 Florian Weimer 发现。

    注意：通过此更新，IBM SDK 现在会禁用 SSL 协议以处理 3.0 问 CVE-2014-3566 题（也称为 POODLE）。有关此更改的详细信息，以及有关如何重新启用 SSL 3.0 支持（如有必要）的说明，请参阅“参考”部分中链接的 IBM 文章。

    建议所有 java-1.7.0-ibm 用户升级到这些到更新后的程序包，其中包含 IBM Java SE 7 SR8 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 java-1.7.0-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6 Supplementary。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

[2014 年 12 月 2 日更新] 此公告已更新，包括了此勘误表中以前缺少的更新后的 java-1.7.0-ibm-jdbc 和 java-1.7.0-ibm-plugin 程序包。未对此勘误表中的其他程序包进行任何变更。

IBM Java SE 版本 7 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。详细的漏洞描述信息链接自 IBM“安全警报”页面，此页面列于“参考”部分中。（CVE-2014-3065、CVE-2014-3566、CVE-2014-4288、CVE-2014-6456、CVE-2014-6457、CVE-2014-6458、CVE-2014-6476、CVE-2014-6492、CVE-2014-6493、CVE-2014-6502、CVE-2014-6503、CVE-2014-6506、CVE-2014-6511、CVE-2014-6512、CVE-2014-6515、CVE-2014-6527、CVE-2014-6531、CVE-2014-6532、CVE-2014-6558）

CVE-2014-6512 问题由 Red Hat 产品安全的 Florian Weimer 发现。

注意：通过此更新，IBM SDK 现在会禁用 SSL 3.0 协议以处理 CVE-2014-3566 问题（也称为 POODLE）。有关此更改的详细信息，以及有关如何重新启用 SSL 3.0 支持（如有必要）的说明，请参阅“参考”部分中链接的 IBM 文章。

注意：这是通过 Red Hat Enterprise Linux 6 补充渠道分发的 java-1.7.0-ibm 程序包的最后更新。
RHEA-2014:1619 公告作为 Red Hat Enterprise Linux 6.6 的一部分发布，引入了新的 java-1.7.1-ibm 程序包。这些程序包含有 IBM Java SE 版本 7 Release 1，此版本在 IBM Java SE 版本 7 中 java-1.7.0-ibm 程序包的基础上增加了多项增强。所有 java-1.7.0-ibm 用户必须迁移到 java-1.7.1-ibm 程序包，以继续通过 Red Hat Enterprise Linux 6 补充渠道接收 IBM Java SE 版本 7 的更新。

建议所有 java-1.7.0-ibm 用户升级到这些到更新后的程序包，其中包含 IBM Java SE 7 SR8 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

java-1_6_0-ibm 已更新到版本 1.6.0_sr16.2，修复了 18 个安全问题。

已修复这些安全问题：

- Oracle Java SE 6u81 中的不明漏洞。
 (CVE-2014-3065)

- SSL 协议 3.0 通过 1.0.1i 等产品在 OpenSSL 中使用，它使用非确定性的 CBC 填充，这使得中间人攻击者更容易通过填充 Oracle 攻击（即“POODLE”问题）来获得明文数据。(CVE-2014-3566)

- Oracle Java SE 6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞，允许远程攻击者通过与 AWT 相关的矢量影响机密性、完整性和可用性。(CVE-2014-6513)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6532 不同。
 (CVE-2014-6503)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6493 / CVE-2014-6503 不同。
 (CVE-2014-6532)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-6493 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-4288)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性，此漏洞与 CVE-2014-4288 / CVE-2014-6503 / CVE-2014-6532 不同。
 (CVE-2014-6493)

- 在 Firefox 中运行时，Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性。
 (CVE-2014-6492)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响机密性、完整性和可用性。(CVE-2014-6458)

- 在 Internet Explorer 中运行时，Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许本地用户通过与部署相关的未知矢量影响机密性、完整性和可用性。
 (CVE-2014-6466)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响机密性、完整性和可用性。(CVE-2014-6506)

- Oracle Java SE 6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与部署相关的未知矢量影响完整性。(CVE-2014-6515)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 中的不明漏洞允许远程攻击者通过与 2D 相关的未知矢量影响机密性。
 (CVE-2014-6511)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响机密性。(CVE-2014-6531)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 R28.3.3 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响完整性。
 (CVE-2014-6512)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 R28.3.3 中的不明漏洞允许远程攻击者通过与 JSSE 相关的矢量影响机密性和完整性。(CVE-2014-6457)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20 以及 Java SE Embedded 7u60 中的不明漏洞允许远程攻击者通过与库相关的未知矢量影响完整性。(CVE-2014-6502)

- Oracle Java SE 5.0u71、6u81、7u67 和 8u20；Java SE Embedded 7u60；以及 JRockit R27.8.3 和 JRockit R28.3.3 中的不明漏洞允许远程攻击者通过与安全相关的未知矢量影响完整性。(CVE-2014-6558)

有关更多信息，请访问：http://www.ibm.com/developerworks/java/jdk/alerts/#IBM_Security_Update_November_2014

Oracle's October 2014 security update for Java fixes remote and local vulnerabilities in the following components of the Java SE JDK/JRE:

  - 2D
  - AWT
  - Deployment
  - Hotspot
  - JAXP
  - JSSE
  - JavaFX
  - Libraries
  - Security

Twenty-two of these 25 fixed vulnerabilities may be remotely exploitable without authentication, i.e., may be exploited over a network without the need for a username and password. no further details have been released by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
79208	SuSE 11.3 安全性更新：Java OpenJDK (SAT 修補程式編號 9906)	Nessus	SuSE Local Security Checks	11/12/2014	1/19/2021	critical
81505	RHEL 5/6：Red Hat Satellite IBM Java Runtime (RHSA-2015:0264)	Nessus	Red Hat Local Security Checks	2/25/2015	3/20/2025	low
79377	RHEL 6 / 7：java-1.7.1-ibm (RHSA-2014:1880)	Nessus	Red Hat Local Security Checks	11/21/2014	3/20/2025	low
79635	SuSE 11.3 安全性更新：IBM Java (SAT 修補程式編號 9999)	Nessus	SuSE Local Security Checks	12/1/2014	6/28/2023	critical
81370	GLSA-201502-12：Oracle JRE/JDK：多种漏洞	Nessus	Gentoo Local Security Checks	2/16/2015	1/11/2021	critical
79351	RHEL 5/6：java-1.7.0-ibm (RHSA-2014:1876)	Nessus	Red Hat Local Security Checks	11/20/2014	3/20/2025	low
79379	RHEL 6：java-1.7.0-ibm (RHSA-2014:1882) (POODLE)	Nessus	Red Hat Local Security Checks	11/21/2014	3/24/2025	low
79634	SuSE 11.3 安全更新：IBM Java（SAT 修补程序编号 9992）	Nessus	SuSE Local Security Checks	12/1/2014	6/28/2023	critical
8550	Oracle Java Update (October 2014) Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	10/15/2014	3/6/2019	critical

Detections

Analytics

Plugins Search

critical

low

low

critical

critical

low

low

critical

critical