在 OpenJDK 的 Hotspot 元件驗證來自類別檔案之位元組程式碼的方式中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過 Java Sandbox 限制。
(CVE-2014-6601)

在 OpenJDK 的 JAX-WS 和 RMI 元件中發現多個不當權限檢查問題。未受信任的 Java 應用程式或 applet 可利用這些瑕疵繞過 Java Sandbox 限制。
(CVE-2015-0412、CVE-2015-0408)

在熱點記憶體回收行程處理虛設參照的方式中發現一個瑕疵。未受信任的 Java 應用程式或 applet 可利用此瑕疵損毀 Java 虛擬機器記憶體，且可能執行任意程式碼而繞過 Java Sandbox 限制。
(CVE-2015-0395)

在 OpenJDK 的 Security 元件中，DER (Distinguished Encoding Rules) 解碼器處理負長度值的方式有一個瑕疵。以 DER 編碼的特製輸入，解碼時可能造成 Java 應用程式進入無限迴圈。(CVE-2015-0410)

在加密區塊鏈結 (CBC) 模式下解密使用區塊加密法加密的訊息時，SSL 3.0 通訊協定處理填補位元組的方式有一個瑕疵。此瑕疵可能允許攔截式 (MITM) 攻擊者使用 padding oracle 攻擊來解密部分密碼文字。(CVE-2014-3566)

注意：此更新會依預設停用 SSL 3.0 來解決此問題。
如有需要，jdk.tls.disabledAlgorithms 安全性內容可用於重新啟用 SSL 3.0 支援。如需其他資訊，請參閱 Red Hat Bugzilla 錯誤，連結附於〈參照〉一節中。

據發現，在 OpenJDK 的 JSSE 元件中，SSL/TLS 實作無法正確檢查 SSL/TLS 連線交握期間是否收到了 ChangeCipherSpec。
MITM 攻擊者可能利用此瑕疵，在不啟用加密的狀態下強制建立連線。(CVE-2014-6593)

在 OpenJDK 的 Swing 元件中發現一個資訊洩漏瑕疵。
未受信任的 Java 應用程式或 applet 可利用此瑕疵，繞過特定 Java Sandbox 限制。(CVE-2015-0407)

在 OpenJDK 的 Libraries 元件中，MulticastSocket 實作存在一個 NULL 指標解除參照瑕疵。未受信任的 Java 應用程式或 applet 可能利用此瑕疵繞過特定 Java Sandbox 限制。(CVE-2014-6587)

在 OpenJDK 的 2D 元件中，字型剖析程式碼存在多個邊界檢查瑕疵。特製的字型檔可能允許未受信任的 Java 應用程式或 applet 洩漏部分 Java 虛擬機器記憶體。(CVE-2014-6585、CVE-2014-6591)

在 OpenJDK 的 Hotspot 元件建立效能統計資料和錯誤記錄檔的方式中，發現多個不安全的暫存檔使用問題。本機攻擊者可能利用符號連結攻擊，造成使用 OpenJDK 的使用者覆寫任意檔案。(CVE-2015-0383) CVE-2015-0383 問題是由 Red Hat 所發現。

遠端 Windows 主機上安裝的 VMware Horizon View 版本是比 5.3.4 舊的 5.x 版，或比 6.1 舊的 6.x 版。因此受到以下弱點影響：

- 攔截式 (MitM) 資訊洩漏弱點 (又稱 POODLE) 是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。
 (CVE-2014-3566)

- 隨附的 Flex BlazeDS 元件中存在一個 XML 外部實體 (XXE) 插入弱點，是因設定錯誤的 XML 剖析器允許接受來自未受信任來源的外部 XML 實體所致。未經驗證的遠端攻擊者可惡意利用此弱點，透過特製的 AMF 訊息來取得敏感資訊的存取權。(CVE-2015-3269)

- 隨附的 Adobe ColdFusion 與 LiveCycle Data Services 元件中存在一個與使用者和伺服器之間要求處理相關的瑕疵。遠端攻擊者可加以惡意利用，透過特製要求，繞過存取限制 (例如主機或網路 ACL)，對內部網路執行連接埠掃描、模擬內部主機，或可能叫用其他通訊協定 (例如 Gopher、TFTP)。
 (CVE-2015-5255)

此外，下列隨附的 Java 元件中也存在多個不明弱點：

- 2D (CVE-2014-6585、CVE-2014-6591)

- Deployment (CVE-2015-0403、CVE-2015-0406)

- Hotspot (CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0437)

- Installation (CVE-2015-0421)

- JAX-WS (CVE-2015-0412)

- JSSE (CVE-2014-6593)

- Libraries (CVE-2014-6549、CVE-2014-6587、CVE-2015-0400)

- RMI (CVE-2015-0408)

- Security (CVE-2015-0410)

- Serviceability (CVE-2015-0413)

- Swing (CVE-2015-0407)

遠端主機上安裝的 VMware vCenter Server 為 5.0u3d 之前的 5.0 版、5.1u3a 之前的 5.1 版、5.5u2e 之前的 5.5 版，或是 6.0.0a 之前的 6.0 版。因此會受到一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點影響；此問題與隨附的 JRE 元件有關。此弱點是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。

此外，下列隨附的 JRE 元件中也存在多個不明弱點：

- 2D (CVE-2014-6585、CVE-2014-6591)

- Deployment (CVE-2015-0403、CVE-2015-0406)

- Hotspot (CVE-2014-6601、CVE-2015-0383、CVE-2015-0395、CVE-2015-0437)

- Installation (CVE-2015-0421)

- JAX-WS (CVE-2015-0412)

- JSSE (CVE-2014-6593)

- Libraries (CVE-2014-6549、CVE-2014-6587、CVE-2015-0400)

- RMI (CVE-2015-0408)

- Security (CVE-2015-0410)

- Serviceability (CVE-2015-0413)

- Swing (CVE-2015-0407)

遠端主機受到 GLSA-201507-14 中所述弱點的影響 (Oracle JRE/JDK：多個弱點)

在 Oracle JRE/JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

內容相依的攻擊者可能會影響 Java 應用程式/運行時間的機密性、完整性和可用性。
 因應措施：

目前尚無因應措施。

The version of Oracle Java SE or Java for Business installed on the remote host is prior to 8 Update 31, 7 Update 75, 6 Update 91, or 5 Update 81. It is, therefore, affected by security vulnerabilities in the following components :

 - 2D
 - Deployment
 - Hotspot
 - Install
 - JAX-WS
 - JSSE
 - Libraries
 - RMI
 - Security
 - Serviceability
 - Swing

The Oracle Java SE installed on the remote host is version 5 prior to Update 26, 6 prior to Update 91, 7 prior to Update 75, or 8 prior to Update 26; therefore, it is affected by multiple vulnerabilities.  While the details of these vulnerabilities are not currently known, the vendor has acknowledged that confidentiality, integrity, and availability can be impacted remotely.  The components affected by these vulnerabilities are:

 - 2D (CVE-2014-6585, CVE-2014-6591)
 - DER Decoder (CVE-2015-0410)
 - Hotspot (CVE-2015-0383)
 - Hotspot Garbage Collector (CVE-2015-0395)
 - JSSE (CVE-2014-6593)
 - RMI (CVE-2015-0408)
 - Swing (CVE-2015-0407)

ID	Name	Product	Family	Published	Updated	Severity
81326	Amazon Linux AMI : java-1.6.0-openjdk (ALAS-2015-480) (POODLE)	Nessus	Amazon Linux Local Security Checks	2/13/2015	6/28/2023	low
82741	VMware Horizon View 多個弱點 (VMSA-2015-0003) (VMSA-2015-0008) (POODLE)	Nessus	Windows	4/13/2015	11/15/2018	critical
83186	VMware vCenter Server 多個 Java 弱點 (VMSA-2015-0003) (POODLE)	Nessus	Misc.	5/1/2015	11/15/2018	critical
84719	GLSA-201507-14：Oracle JRE/JDK：多個弱點 (POODLE)	Nessus	Gentoo Local Security Checks	7/14/2015	6/28/2023	low
700649	Oracle Java SE 5 < Update 81 / 6 < Update 91 / 7 < Update 75 / 8 < Update 31 Multiple Vulnerabilities (January 2015 CPU) (POODLE)	Nessus Network Monitor	Web Clients	5/2/2019	5/2/2019	critical
8897	Oracle Java SE 5 < Update 76 / 6 < Update 86 / 7 < Update 73 / 8 < Update 26 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2/12/2015	3/6/2019	high

Detections

Analytics

Plugins Search

low

critical

critical

low

critical

high