Amazon Linux AMI:java-1.6.0-openjdk (ALAS-2014-326)

critical Nessus 插件 ID 73654
全新!漏洞优先级评级 (VPR)

Tenable 测算每个漏洞的动态 VPR。VPR 将漏洞信息与威胁情报和机器学习算法相结合,预测哪些漏洞最有可能在攻击中被利用。了解详细信息: VPR 的定义及其与 CVSS 的区别。

VPR 得分: 6.5

简介

远程 Amazon Linux AMI 主机缺少安全更新。

描述

在 2D 组件的 medialib 库中发现输入验证缺陷。在处理特别构建的图像时,可触发 Java 虚拟机内存损坏。远程攻击者或不受信任的 Java 应用程序或小程序可能利用此缺陷,以运行 Java 虚拟机的用户的权限执行任意代码。(CVE-2014-0429)

在 OpenJDK 中的 Hotspot 和 2D 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷触发 Java 虚拟机内存损坏,并可能绕过 Java 沙盒限制。(CVE-2014-0456、CVE-2014-2397、CVE-2014-2421)

在 OpenJDK 的 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
(CVE-2014-0457、CVE-2014-0461)

在 OpenJDK 的 AWT、JAX-WS、JAXB、Libraries 和 Sound 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。(CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-0446、CVE-2014-2427)

在 Java 命名和目录接口 (JNDI) DNS 客户端发现多种缺陷。这些缺陷可使远程攻击者更容易发起 DNS 欺骗攻击。(CVE-2014-0460)

已发现当存在 SecurityManager 时,JAXP 组件没有正确阻止对任意文件的访问。该缺陷可导致使用 JAXP 的 Java 应用程序泄漏敏感信息,或影响应用程序的可用性。(CVE-2014-2403)

已发现当执行 PKCS#1 unpadding 时,OpenJDK 的 Security 组件可泄漏一些计时信息。这可能导致本应由加密保护的一些信息发生泄露。(CVE-2014-0453)

已发现针对 CVE-2013-5797 的补丁没有正确解决 javadoc 中的输入审查缺陷。当 javadoc 文档由不受信任的 Java 源代码生成并托管于不受代码作者控制的域时,这些问题可能更容易导致跨站脚本 (XSS) 攻击。
(CVE-2014-2398)

在 unpack200 实用工具创建日志文件的方式中,发现不安全的临时文件使用缺陷。本地攻击者可能利用此缺陷进行符号链接攻击,并以运行 unpack200 的用户的权限覆盖任意文件。(CVE-2014-1876)

解决方案

请运行“yum update java-1.6.0-openjdk”更新系统。

另见

https://alas.aws.amazon.com/ALAS-2014-326.html

插件详情

严重性: Critical

ID: 73654

文件名: ala_ALAS-2014-326.nasl

版本: 1.8

类型: local

代理: unix

发布时间: 2014/4/23

最近更新时间: 2019/7/10

依存关系: ssh_get_info.nasl

风险信息

风险因素: Critical

VPR 得分: 6.5

CVSS v2.0

基本分数: 10

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

漏洞信息

CPE: cpe:2.3:o:amazon:linux:*:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.6.0-openjdk:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.6.0-openjdk-debuginfo:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.6.0-openjdk-demo:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.6.0-openjdk-devel:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.6.0-openjdk-javadoc:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.6.0-openjdk-src:*:*:*:*:*:*:*

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

补丁发布日期: 2014/9/18

漏洞发布日期: 2013/10/16

参考资料信息

CVE: CVE-2013-5797, CVE-2014-0429, CVE-2014-0446, CVE-2014-0451, CVE-2014-0452, CVE-2014-0453, CVE-2014-0456, CVE-2014-0457, CVE-2014-0458, CVE-2014-0460, CVE-2014-0461, CVE-2014-1876, CVE-2014-2397, CVE-2014-2398, CVE-2014-2403, CVE-2014-2412, CVE-2014-2414, CVE-2014-2421, CVE-2014-2423, CVE-2014-2427

RHSA: 2014:0408

ALAS: 2014-326