此 2.4.7 版的 java-1_7_0-openjdk 更新可修正下列安全性和非安全性問題：

- 安全性修正：

- S8023046：增強 splashscreen 支援

- S8025005：增強 CORBA 初始化

- S8025010、CVE-2014-2412：增強 AWT 內容

- S8025030、CVE-2014-2414：增強資料流處理

- S8025152、CVE-2014-0458：增強啟用設定

- S8026067：增強已簽署 jar 驗證

- S8026163、CVE-2014-2427：增強媒體佈建

- S8026188、CVE-2014-2423：增強信封工廠

- S8026200：增強 RowSet Factory

- S8026716、CVE-2014-2402：(aio) 增強非同步通道處理

- S8026736、CVE-2014-2398：增強 Javadoc 頁面

- S8026797、CVE-2014-0451：增強資料傳輸

- S8026801、CVE-2014-0452：增強端點定址

- S8027766、CVE-2014-0453：增強 RSA 處理

- S8027775：增強 ICU 程式碼。

- S8027841、CVE-2014-0429：增強像素操作

- S8028385：增強 RowSet Factory

- S8029282、CVE-2014-2403：增強 CharInfo 設定

- S8029286：增強主體委派

- S8029699：更新 Poller 示範

- S8029730：改善音訊裝置新增

- S8029735：增強服務管理原生

- S8029740、CVE-2014-0446：增強記錄器處理

- S8029745、CVE-2014-0454：增強演算法檢查

- S8029750：增強 LCMS 色彩處理 (內部樹狀 LCMS)

- S8029760、CVE-2013-6629：增強 AWT 圖像庫 (內部樹狀 libjpeg)

- S8029844、CVE-2014-0455：增強引數驗證

- S8029854、CVE-2014-2421：增強 JPEG 解碼

- S8029858、CVE-2014-0456：增強陣列複本

- S8030731、CVE-2014-0460：改善名稱服務加強性

- S8031330：重構 ObjectFactory

- S8031335、CVE-2014-0459：改善色彩分析 (內部樹狀 LCMS)

- S8031352、CVE-2013-6954：增強 PNG 處理 (內部樹狀 libpng)

- S8031394、CVE-2014-0457：(sl) 修正 ServiceLoader 內的例外狀況處理

- S8031395：增強 LDAP 處理

- S8032686、CVE-2014-2413：方法叫用問題

- S8033618、CVE-2014-1876：更正記錄輸出

- S8034926、CVE-2014-2397：正確歸屬類別

- S8036794、CVE-2014-0461：管理 JavaScript 執行個體

- 反向移植

- S8004145：改善的最新 hgforest.sh、ctrl-c 現可正確終止 mercurial 處理程序。

- S8007625：在 /common/bin/hgforest.sh 中與巢狀 repo 爭用

- S8011178：改善 common/bin/hgforest.sh python 偵測 (MacOS)

- S8011342：hgforest.sh：在更舊版 python 上不支援 ‘python --version’

- S8011350：hgforest.sh 使用因部分 Shell 可能會失敗的非 POSIX sh 功能

- S8024200：處理 #! 後有空格的 hg 包裝函式

- S8025796：hgforest.sh 無需複雜策劃，便可觸發來自 hg 的未緩衝輸出

- S8028388：9 個 jaxws 測試因 java.lang.ClassCastException 而在夜間版本中失敗

- S8031477：[macosx] AWT 原生程式庫載入失敗

- S8032370：JPEGImageReader 上沒有來自 IIOReadWarningListener 的　‘Truncated file’　警告

- S8035834：修正 JDK-8030731 之後，InetAddress.getLocalHost() 可能會懸置

- 錯誤修正

- PR1393：版本中的 JPEG 支援在 non-system-libjpeg 版本上損毀

- PR1726：組態未能尋找 ecj.jar，甚至沒有嘗試找出 javac

- Red Hat 本機：路徑以 / 開頭之 repo　的修正。

- 移除未使用的 hgforest 指令碼

現已提供適用於 Red Hat Enterprise Linux 5 和 6 Supplementary 的更新版 java-1.5.0-ibm 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM J2SE 版本 5.0 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。IBM 「安全性警示」頁面會詳細說明這些弱點，如<參照>一節中所列。(CVE-2014-0457、CVE-2014-2421、CVE-2014-0429、CVE-2014-0446、CVE-2014-0451、CVE-2014-2427、CVE-2014-2412、CVE-2014-0460、CVE-2013-6629、CVE-2014-2401、CVE-2014-0453、CVE-2014-2398、CVE-2014-1876)

建議所有 java-1.5.0-ibm 使用者皆升級至這些更新版套件，其中含有 IBM J2SE 5.0 SR16-FP6 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，此更新才會生效。

更新版 java-1.7.0-openjdk 套件可修正安全性弱點：

在 2D 元件的 medialib 程式庫中發現輸入驗證瑕疵。處理特製的影像時，可觸發 Java 虛擬機器記憶體損毀。遠端攻擊者或者未受信任的 Java 應用程式或 applet 可能利用此瑕疵，以執行 Java 虛擬機器的使用者權限執行任意程式碼 (CVE-2014-0429)。

在 OpenJDK 的 Hotspot 和 2D 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，觸發 Java 虛擬機器記憶體損毀，且可能繞過 Java Sandbox 限制 (CVE-2014-0456、CVE-2014-2397、CVE-2014-2421)。

在 OpenJDK 的 Libraries 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2014-0457、CVE-2014-0455、CVE-2014-0461)。

在 OpenJDK 的 AWT、JAX-WS、JAXB、Libraries、Security、Sound 和 2D 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過特定 Java Sandbox 限制 (CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-2402、CVE-2014-0446、CVE-2014-2413、CVE-2014-0454、CVE-2014-2427、CVE-2014-0459)。

在 Java 命名和目錄介面 (JNDI) DNS 用戶端中發現多個瑕疵。這些瑕疵可導致遠端攻擊者更容易執行 DNS 偽造攻擊 (CVE-2014-0460)。

據發現，JAXP 元件並未在 SecurityManager 存在時正確防止對任意檔案的存取。此瑕疵可導致使用 JAXP 的 Java 應用程序洩漏敏感資訊，或是影響應用程式可用性 (CVE-2014-2403)。

據發現，OpenJDK 的 Security 元件在執行 PKCS#1 取消填補時，可洩漏部分計時資訊。這可能導致原本應受到加密保護的部分資訊遭到洩漏 (CVE-2014-0453)。

據發現，CVE-2013-5797 的修正未正確解決 javadoc 中的輸入清理瑕疵。若 javadoc 文件是由不受信任的 Jave 原始碼產生，且是在未由程式碼作者控制的網域上託管，這些問題可導致更容易發動跨網站指令碼 (XSS) 攻擊 (CVE-2014-2398)。

在 unpack200 公用程式建立記錄檔的方式中發現一個不安全的暫時檔使用瑕疵。本機攻擊者可能利用此瑕疵發動符號連結攻擊，並且透過執行 unpack200 的使用者權限覆寫任意檔案 (CVE-2014-1876)。

請注意，CVE-2014-0459 問題位於 lcms2 程式庫中，其已經過修補，可更正此瑕疵。

遠端主機上安裝的 VMware vCenter Server 版本是 Update 3c 之前的 5.0、 Update 3 之前的5.1 或 Update 2 之前的 5.5。
因此，受到第三方程式庫中多個弱點影響：

- 搭配的 Apache Struts 版本包含程式碼執行瑕疵。請注意，5.0 Update 3c 只解決了此弱點。(CVE-2014-0114)

- 隨附的 tc-server / Apache Tomcat 包含多個弱點。(CVE-2013-4590、CVE-2013-4322 和 CVE-2014-0050)

- 隨附的 Oracle JRE 版本比 1.7.0_55 舊，因此受到多個弱點影響。請注意，這只影響 vCenter 的 5.5 版。

遠端主機上安裝的 IBM Domino (前身為 Lotus Domino) 是比 9.0.1 Fix Pack 2 (FP2) 舊的 9.0.x 版。因此受到以下弱點影響：

- 存在一個與 TLS 實作和 IBM HTTP 伺服器相關的不明錯誤，可能允許在某些錯誤的情況下造成 100% CPU 使用率。請注意，此問題僅影響 Microsoft Windows 主機。
 (CVE-2014-0963)

- 2014 年 4 月版 Oracle Java CPU 中的修正納入已修正的 IBM Java 版本中，而該 IBM Java 版本則納入已修正的 IBM Domino 版本中。
 (CVE-2013-6629、CVE-2013-6954、CVE-2014-0429、 CVE-2014-0446、CVE-2014-0448、CVE-2014-0449、 CVE-2014-0451、CVE-2014-0452、CVE-2014-0453、 CVE-2014-0454、CVE-2014-0455、CVE-2014-0457、 CVE-2014-0458、CVE-2014-0459、CVE-2014-0460、 CVE-2014-0461、CVE-2014-1876、CVE-2014-2398、 CVE-2014-2401、CVE-2014-2402、CVE-2014-2409、 CVE-2014-2412、CVE-2014-2414、CVE-2014-2420、 CVE-2014-2421、CVE-2014-2423、CVE-2014-2427、 CVE-2014-2428)

- 攔截式 (MitM) 資訊洩漏弱點 (又稱 POODLE) 是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。
 (CVE-2014-3566)

遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

ID	Name	Product	Family	Published	Updated	Severity
74007	SuSE 11.3 安全性更新：OpenJDK (SAT 修補程式編號 9209)	Nessus	SuSE Local Security Checks	5/14/2014	1/19/2021	critical
74032	RHEL 5 / 6：java-1.5.0-ibm (RHSA-2014:0509)	Nessus	Red Hat Local Security Checks	5/16/2014	1/14/2021	critical
74078	Mandriva Linux 安全性公告：java-1.7.0-openjdk (MDVSA-2014:100)	Nessus	Mandriva Local Security Checks	5/19/2014	1/6/2021	critical
77728	適用 vCenter Server 的 VMware 安全性更新 (VMSA-2014-0008)	Nessus	Misc.	9/17/2014	11/15/2018	critical
77811	IBM Domino 9.0.x < 9.0.1 Fix Pack 2 多個弱點 (經認證的檢查) (POODLE)	Nessus	Windows	9/23/2014	6/23/2023	low
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	6/30/2014	12/5/2022	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

low

critical