Debian DSA-2356-1：openjdk-6 - 多个漏洞 (BEAST)

critical Nessus 插件 ID 56987

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

已在 OpenJDK（Java 平台的实现）中发现多个漏洞：

- CVE-2011-3389 当在 CBC 模式中使用密码块时，TLS 实现未恰当防止某些选择的明文攻击。

- CVE-2011-3521 CORBA 实现包含 IIOP 实现中的反序列化漏洞，允许不信任的 Java 代码（如小程序）升级其权限。

- CVE-2011-3544 Java 脚本引擎缺少必要的安全管理器检查，允许不信任的 Java 代码（如小程序）升级其权限。

- CVE-2011-3547 java.io.InputStream 中的 skip() 方法使用共享缓冲区，允许不信任的 Java 代码（如小程序）访问其他代码跳过的数据。

- CVE-2011-3548 java.awt.AWTKeyStroke 类包含允许不信任的 Java 代码（如小程序）升级其权限的缺陷。

- CVE-2011-3551 Java2D C 代码包含导致基于堆的缓冲区溢出的整数溢出缺陷，可能允许不信任的 Java 代码（如小程序）升级其权限。

- CVE-2011-3552 恶意 Java 代码可用尽过量的 UDP 端口，从而导致拒绝服务。

- CVE-2011-3553 JAX-WS 默认对某些服务器响应启用堆栈跟踪，可能泄露敏感信息。

- CVE-2011-3554 pack200 格式的 JAR 文件未正确检查错误，可能在解包构建的 pack200 文件时导致执行任意代码。

- CVE-2011-3556 RMI 注册表服务器缺少对某些方法的访问限制，允许远程客户端执行任意代码。

- CVE-2011-3557 RMI 注册表服务器未正确限制不信任的 Java 代码的权限，允许 RMI 客户端在 RMI 注册表服务器上升级其权限。

- CVE-2011-3560 com.sun.net.ssl.HttpsURLConnection 类未在 setSSLSocketFactory() 方法中执行恰当的安全管理器检查，允许不信任的 Java 代码绕过安全策略限制。