此 2.4.7 版的 java-1_7_0-openjdk 更新可修正下列安全性和非安全性問題：

- 安全性修正：

- S8023046：增強 splashscreen 支援

- S8025005：增強 CORBA 初始化

- S8025010、CVE-2014-2412：增強 AWT 內容

- S8025030、CVE-2014-2414：增強資料流處理

- S8025152、CVE-2014-0458：增強啟用設定

- S8026067：增強已簽署 jar 驗證

- S8026163、CVE-2014-2427：增強媒體佈建

- S8026188、CVE-2014-2423：增強信封工廠

- S8026200：增強 RowSet Factory

- S8026716、CVE-2014-2402：(aio) 增強非同步通道處理

- S8026736、CVE-2014-2398：增強 Javadoc 頁面

- S8026797、CVE-2014-0451：增強資料傳輸

- S8026801、CVE-2014-0452：增強端點定址

- S8027766、CVE-2014-0453：增強 RSA 處理

- S8027775：增強 ICU 程式碼。

- S8027841、CVE-2014-0429：增強像素操作

- S8028385：增強 RowSet Factory

- S8029282、CVE-2014-2403：增強 CharInfo 設定

- S8029286：增強主體委派

- S8029699：更新 Poller 示範

- S8029730：改善音訊裝置新增

- S8029735：增強服務管理原生

- S8029740、CVE-2014-0446：增強記錄器處理

- S8029745、CVE-2014-0454：增強演算法檢查

- S8029750：增強 LCMS 色彩處理 (內部樹狀 LCMS)

- S8029760、CVE-2013-6629：增強 AWT 圖像庫 (內部樹狀 libjpeg)

- S8029844、CVE-2014-0455：增強引數驗證

- S8029854、CVE-2014-2421：增強 JPEG 解碼

- S8029858、CVE-2014-0456：增強陣列複本

- S8030731、CVE-2014-0460：改善名稱服務加強性

- S8031330：重構 ObjectFactory

- S8031335、CVE-2014-0459：改善色彩分析 (內部樹狀 LCMS)

- S8031352、CVE-2013-6954：增強 PNG 處理 (內部樹狀 libpng)

- S8031394、CVE-2014-0457：(sl) 修正 ServiceLoader 內的例外狀況處理

- S8031395：增強 LDAP 處理

- S8032686、CVE-2014-2413：方法叫用問題

- S8033618、CVE-2014-1876：更正記錄輸出

- S8034926、CVE-2014-2397：正確歸屬類別

- S8036794、CVE-2014-0461：管理 JavaScript 執行個體

- 反向移植

- S8004145：改善的最新 hgforest.sh、ctrl-c 現可正確終止 mercurial 處理程序。

- S8007625：在 /common/bin/hgforest.sh 中與巢狀 repo 爭用

- S8011178：改善 common/bin/hgforest.sh python 偵測 (MacOS)

- S8011342：hgforest.sh：在更舊版 python 上不支援 ‘python --version’

- S8011350：hgforest.sh 使用因部分 Shell 可能會失敗的非 POSIX sh 功能

- S8024200：處理 #! 後有空格的 hg 包裝函式

- S8025796：hgforest.sh 無需複雜策劃，便可觸發來自 hg 的未緩衝輸出

- S8028388：9 個 jaxws 測試因 java.lang.ClassCastException 而在夜間版本中失敗

- S8031477：[macosx] AWT 原生程式庫載入失敗

- S8032370：JPEGImageReader 上沒有來自 IIOReadWarningListener 的　‘Truncated file’　警告

- S8035834：修正 JDK-8030731 之後，InetAddress.getLocalHost() 可能會懸置

- 錯誤修正

- PR1393：版本中的 JPEG 支援在 non-system-libjpeg 版本上損毀

- PR1726：組態未能尋找 ecj.jar，甚至沒有嘗試找出 javac

- Red Hat 本機：路徑以 / 開頭之 repo　的修正。

- 移除未使用的 hgforest 指令碼

BM Java 6 已更新至 6 SR16 版，可修正數個安全性問題和其他多種錯誤。

如需詳細資訊，請參閱下列網址：
http://www.ibm.com/developerworks/java/jdk/alerts/

來自 Red Hat 安全性公告 2014:0408：

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 java-1.6.0-openjdk 套件，可修正多個安全性問題和一個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Java-1.6.0-openjdk 套件提供 OpenJDK 6 Java Runtime Environment 和 OpenJDK 6 Java Software Development Kit。

在 2D 元件的 medialib 程式庫中發現輸入驗證瑕疵。處理特製的影像時，可觸發 Java 虛擬機器記憶體損毀。遠端攻擊者或者未受信任的 Java 應用程式或 applet 可能利用此瑕疵，以執行 Java 虛擬機器的使用者權限執行任意程式碼。(CVE-2014-0429)

在 OpenJDK 的 Hotspot 和 2D 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，觸發 Java 虛擬機器記憶體損毀，且可能繞過 Java Sandbox 限制。(CVE-2014-0456、CVE-2014-2397、CVE-2014-2421)

在 OpenJDK 的 Libraries 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-0457、CVE-2014-0461)

在 OpenJDK 的 AWT、JAX-WS、JAXB、Libraries 和 Sound 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-0446、CVE-2014-2427)

在 Java 命名和目錄介面 (JNDI) DNS 用戶端中發現多個瑕疵。這些瑕疵可導致遠端攻擊者更容易執行 DNS 偽造攻擊。(CVE-2014-0460)

據發現，JAXP 元件並未在 SecurityManager 存在時正確防止對任意檔案的存取。此瑕疵可導致使用 JAXP 的 Java 應用程序洩漏敏感資訊，或是影響應用程式可用性。(CVE-2014-2403)

據發現，OpenJDK 的 Security 元件在執行 PKCS#1 取消填補時，可洩漏部分計時資訊。這可能導致原本應受到加密保護的部分資訊遭到洩漏。(CVE-2014-0453)

據發現，CVE-2013-5797 的修正未正確解決 javadoc 中的輸入清理瑕疵。若 javadoc 文件是由不受信任的 Jave 原始碼產生，且是在未由程式碼作者控制的網域上託管，這些問題可導致更容易發動跨網站指令碼 (XSS) 攻擊。
(CVE-2014-2398)

在 unpack200 公用程式建立記錄檔的方式中發現一個不安全的暫時檔使用瑕疵。本機攻擊者可能利用此瑕疵發動符號連結攻擊，並且透過執行 unpack200 的使用者權限覆寫任意檔案。(CVE-2014-1876)

此更新也可修正下列錯誤：

* IcedTea 1.13 版的 OpenJDK 更新引入了與 jdk_version_info 變數處理有關的迴歸。此變數在傳送給 Java 虛擬機器之前並未正確歸零，進而導致 java.lang.ref.Finalizer 類別中出現記憶體洩漏。此更新可修正此問題，使記憶體洩漏不再發生。(BZ#1085373)

建議所有 java-1.6.0-openjdk 使用者皆升級至這些更新版套件，其可解決這些問題。所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

在 2D 元件的 medialib 程式庫中發現輸入驗證瑕疵。處理特製的影像時，可觸發 Java 虛擬機器記憶體損毀。遠端攻擊者或者未受信任的 Java 應用程式或 applet 可能利用此瑕疵，以執行 Java 虛擬機器的使用者權限執行任意程式碼。(CVE-2014-0429)

在 OpenJDK 的 Hotspot 和 2D 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，觸發 Java 虛擬機器記憶體損毀，且可能繞過 Java Sandbox 限制。(CVE-2014-0456、CVE-2014-2397、CVE-2014-2421)

在 OpenJDK 的 Libraries 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2014-0457、CVE-2014-0461)

在 OpenJDK 的 AWT、JAX-WS、JAXB、Libraries 和 Sound 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，繞過特定 Java Sandbox 限制。(CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-0446、CVE-2014-2427)

在 Java 命名和目錄介面 (JNDI) DNS 用戶端中發現多個瑕疵。這些瑕疵可導致遠端攻擊者更容易執行 DNS 偽造攻擊。(CVE-2014-0460)

據發現，JAXP 元件並未在 SecurityManager 存在時正確防止對任意檔案的存取。此瑕疵可導致使用 JAXP 的 Java 應用程序洩漏敏感資訊，或是影響應用程式可用性。(CVE-2014-2403)

據發現，OpenJDK 的 Security 元件在執行 PKCS#1 取消填補時，可洩漏部分計時資訊。這可能導致原本應受到加密保護的部分資訊遭到洩漏。(CVE-2014-0453)

據發現，CVE-2013-5797 的修正未正確解決 javadoc 中的輸入清理瑕疵。若 javadoc 文件是由不受信任的 Jave 原始碼產生，且是在未由程式碼作者控制的網域上託管，這些問題可導致更容易發動跨網站指令碼 (XSS) 攻擊。
(CVE-2014-2398)

在 unpack200 公用程式建立記錄檔的方式中發現一個不安全的暫時檔使用瑕疵。本機攻擊者可能利用此瑕疵發動符號連結攻擊，並且透過執行 unpack200 的使用者權限覆寫任意檔案。(CVE-2014-1876)

此更新也可修正下列錯誤：

- IcedTea 1.13 版的 OpenJDK 更新引入了與 jdk_version_info 變數處理有關的迴歸。此變數在傳送給 Java 虛擬機器之前並未正確歸零，進而導致 java.lang.ref.Finalizer 類別中出現記憶體洩漏。此更新可修正此問題，使記憶體洩漏不再發生。

所有執行中的 OpenJDK Java 執行個體都必須重新啟動，更新才能生效。

遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

遠端主機上安裝的 IBM Domino (前身為 Lotus Domino) 是比 9.0.1 Fix Pack 2 (FP2) 舊的 9.0.x 版。因此受到以下弱點影響：

- 存在一個與 TLS 實作和 IBM HTTP 伺服器相關的不明錯誤，可能允許在某些錯誤的情況下造成 100% CPU 使用率。請注意，此問題僅影響 Microsoft Windows 主機。
 (CVE-2014-0963)

- 2014 年 4 月版 Oracle Java CPU 中的修正納入已修正的 IBM Java 版本中，而該 IBM Java 版本則納入已修正的 IBM Domino 版本中。
 (CVE-2013-6629、CVE-2013-6954、CVE-2014-0429、 CVE-2014-0446、CVE-2014-0448、CVE-2014-0449、 CVE-2014-0451、CVE-2014-0452、CVE-2014-0453、 CVE-2014-0454、CVE-2014-0455、CVE-2014-0457、 CVE-2014-0458、CVE-2014-0459、CVE-2014-0460、 CVE-2014-0461、CVE-2014-1876、CVE-2014-2398、 CVE-2014-2401、CVE-2014-2402、CVE-2014-2409、 CVE-2014-2412、CVE-2014-2414、CVE-2014-2420、 CVE-2014-2421、CVE-2014-2423、CVE-2014-2427、 CVE-2014-2428)

- 攔截式 (MitM) 資訊洩漏弱點 (又稱 POODLE) 是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。
 (CVE-2014-3566)

ID	Name	Product	Family	Published	Updated	Severity
74007	SuSE 11.3 安全性更新：OpenJDK (SAT 修補程式編號 9209)	Nessus	SuSE Local Security Checks	5/14/2014	1/19/2021	critical
74284	SuSE 11.3 安全性更新：IBM Java 6 (SAT 修補程式編號 9256)	Nessus	SuSE Local Security Checks	6/3/2014	1/19/2021	critical
73584	Oracle Linux 5 / 6：java-1.6.0-openjdk (ELSA-2014-0408)	Nessus	Oracle Linux Local Security Checks	4/17/2014	10/22/2024	critical
73588	Scientific Linux 安全性更新：SL5.x、SL6.x i386/x86_64 上的 java-1.6.0-openjdk。	Nessus	Scientific Linux Local Security Checks	4/17/2014	1/14/2021	critical
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	6/30/2014	12/5/2022	critical
77811	IBM Domino 9.0.x < 9.0.1 Fix Pack 2 多個弱點 (經認證的檢查) (POODLE)	Nessus	Windows	9/23/2014	6/23/2023	low

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

low