現已提供適用於 Red Hat Enterprise Linux 5 和 6 Supplementary 的更新版 java-1.5.0-ibm 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

IBM J2SE 版本 5.0 包含 IBM Java Runtime Environment 和 IBM Java Software Development Kit。

此更新可修正 IBM Java Runtime Environment 和 IBM Java Software Development Kit 中的數個弱點。IBM 「安全性警示」頁面會詳細說明這些弱點，如<參照>一節中所列。(CVE-2014-0457、CVE-2014-2421、CVE-2014-0429、CVE-2014-0446、CVE-2014-0451、CVE-2014-2427、CVE-2014-2412、CVE-2014-0460、CVE-2013-6629、CVE-2014-2401、CVE-2014-0453、CVE-2014-2398、CVE-2014-1876)

建議所有 java-1.5.0-ibm 使用者皆升級至這些更新版套件，其中含有 IBM J2SE 5.0 SR16-FP6 版本。所有執行中的 IBM Java 執行個體都必須重新啟動，此更新才會生效。

更新版 java-1.7.0-openjdk 套件可修正安全性弱點：

在 2D 元件的 medialib 程式庫中發現輸入驗證瑕疵。處理特製的影像時，可觸發 Java 虛擬機器記憶體損毀。遠端攻擊者或者未受信任的 Java 應用程式或 applet 可能利用此瑕疵，以執行 Java 虛擬機器的使用者權限執行任意程式碼 (CVE-2014-0429)。

在 OpenJDK 的 Hotspot 和 2D 元件中發現多個瑕疵。未受信任的 Java 應用程式或 applet 可利用這些瑕疵，觸發 Java 虛擬機器記憶體損毀，且可能繞過 Java Sandbox 限制 (CVE-2014-0456、CVE-2014-2397、CVE-2014-2421)。

在 OpenJDK 的 Libraries 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過 Java Sandbox 限制 (CVE-2014-0457、CVE-2014-0455、CVE-2014-0461)。

在 OpenJDK 的 AWT、JAX-WS、JAXB、Libraries、Security、Sound 和 2D 元件中發現多個權限檢查不當問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵來繞過特定 Java Sandbox 限制 (CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-2402、CVE-2014-0446、CVE-2014-2413、CVE-2014-0454、CVE-2014-2427、CVE-2014-0459)。

在 Java 命名和目錄介面 (JNDI) DNS 用戶端中發現多個瑕疵。這些瑕疵可導致遠端攻擊者更容易執行 DNS 偽造攻擊 (CVE-2014-0460)。

據發現，JAXP 元件並未在 SecurityManager 存在時正確防止對任意檔案的存取。此瑕疵可導致使用 JAXP 的 Java 應用程序洩漏敏感資訊，或是影響應用程式可用性 (CVE-2014-2403)。

據發現，OpenJDK 的 Security 元件在執行 PKCS#1 取消填補時，可洩漏部分計時資訊。這可能導致原本應受到加密保護的部分資訊遭到洩漏 (CVE-2014-0453)。

據發現，CVE-2013-5797 的修正未正確解決 javadoc 中的輸入清理瑕疵。若 javadoc 文件是由不受信任的 Jave 原始碼產生，且是在未由程式碼作者控制的網域上託管，這些問題可導致更容易發動跨網站指令碼 (XSS) 攻擊 (CVE-2014-2398)。

在 unpack200 公用程式建立記錄檔的方式中發現一個不安全的暫時檔使用瑕疵。本機攻擊者可能利用此瑕疵發動符號連結攻擊，並且透過執行 unpack200 的使用者權限覆寫任意檔案 (CVE-2014-1876)。

請注意，CVE-2014-0459 問題位於 lcms2 程式庫中，其已經過修補，可更正此瑕疵。

BM Java 6 已更新至 6 SR16 版，可修正數個安全性問題和其他多種錯誤。

如需詳細資訊，請參閱下列網址：
http://www.ibm.com/developerworks/java/jdk/alerts/

遠端主機上安裝的 VMware vCenter Server 版本是 Update 3c 之前的 5.0、 Update 3 之前的5.1 或 Update 2 之前的 5.5。
因此，受到第三方程式庫中多個弱點影響：

- 搭配的 Apache Struts 版本包含程式碼執行瑕疵。請注意，5.0 Update 3c 只解決了此弱點。(CVE-2014-0114)

- 隨附的 tc-server / Apache Tomcat 包含多個弱點。(CVE-2013-4590、CVE-2013-4322 和 CVE-2014-0050)

- 隨附的 Oracle JRE 版本比 1.7.0_55 舊，因此受到多個弱點影響。請注意，這只影響 vCenter 的 5.5 版。

遠端主機上安裝的 IBM Domino (前身為 Lotus Domino) 是比 9.0.1 Fix Pack 2 (FP2) 舊的 9.0.x 版。因此受到以下弱點影響：

- 存在一個與 TLS 實作和 IBM HTTP 伺服器相關的不明錯誤，可能允許在某些錯誤的情況下造成 100% CPU 使用率。請注意，此問題僅影響 Microsoft Windows 主機。
 (CVE-2014-0963)

- 2014 年 4 月版 Oracle Java CPU 中的修正納入已修正的 IBM Java 版本中，而該 IBM Java 版本則納入已修正的 IBM Domino 版本中。
 (CVE-2013-6629、CVE-2013-6954、CVE-2014-0429、 CVE-2014-0446、CVE-2014-0448、CVE-2014-0449、 CVE-2014-0451、CVE-2014-0452、CVE-2014-0453、 CVE-2014-0454、CVE-2014-0455、CVE-2014-0457、 CVE-2014-0458、CVE-2014-0459、CVE-2014-0460、 CVE-2014-0461、CVE-2014-1876、CVE-2014-2398、 CVE-2014-2401、CVE-2014-2402、CVE-2014-2409、 CVE-2014-2412、CVE-2014-2414、CVE-2014-2420、 CVE-2014-2421、CVE-2014-2423、CVE-2014-2427、 CVE-2014-2428)

- 攔截式 (MitM) 資訊洩漏弱點 (又稱 POODLE) 是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。
 (CVE-2014-3566)

遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

ID	Name	Product	Family	Published	Updated	Severity
74032	RHEL 5 / 6：java-1.5.0-ibm (RHSA-2014:0509)	Nessus	Red Hat Local Security Checks	5/16/2014	1/14/2021	critical
74078	Mandriva Linux 安全性公告：java-1.7.0-openjdk (MDVSA-2014:100)	Nessus	Mandriva Local Security Checks	5/19/2014	1/6/2021	critical
74284	SuSE 11.3 安全性更新：IBM Java 6 (SAT 修補程式編號 9256)	Nessus	SuSE Local Security Checks	6/3/2014	1/19/2021	critical
77728	適用 vCenter Server 的 VMware 安全性更新 (VMSA-2014-0008)	Nessus	Misc.	9/17/2014	11/15/2018	critical
77811	IBM Domino 9.0.x < 9.0.1 Fix Pack 2 多個弱點 (經認證的檢查) (POODLE)	Nessus	Windows	9/23/2014	6/23/2023	low
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	6/30/2014	12/5/2022	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

low

critical