AIX Java 公告:java_jan2014_advisory.asc

critical Nessus 插件 ID 76871
全新!插件严重性现在使用 CVSS v3

计算的插件严重性默认已更新为使用 CVSS v3。没有 CVSS v3 分数的插件将回退到 CVSS v2 来计算严重性。可以在设置下拉列表中切换严重性显示首选项。

简介

远程 AIX 主机安装的 Java SDK 版本可能受到多种漏洞的影响。

描述

远程主机上安装的 Java SDK 版本可能受到以下漏洞的影响:

- Oracle Java 中的漏洞允许远程攻击者通过 XML 文档解析中的缺陷绕过安全功能。(CVE-2013-5878、CVE-2013-5910)

- Oracle Java 中的信息泄露缺陷允许远程攻击者通过 COBRA 组件中的缺陷访问敏感信息。(CVE-2013-5884)

- Oracle Java 中的漏洞允许远程攻击者通过 Deployment 组件中的缺陷发动拒绝服务攻击。(CVE-2013-5887)

- Oracle Java 中存在不明漏洞,原因在于 Deployment 组件中的缺陷。(CVE-2013-5888、CVE-2013-5898、CVE-2013-5899、CVE-2014-0375、CVE-2014-0403、CVE-2014-0424)

- Oracle Java 中的漏洞允许通过 Deployment 组件中的缺陷进行远程代码执行。
(CVE-2013-5889、CVE-2014-0387、CVE-2014-0410、CVE-2014-0415)

- Oracle Java 中的漏洞允许远程攻击者通过 COBRA 组件中的缺陷发动拒绝服务攻击。(CVE-2013-5896)

- Oracle Java 中的漏洞允许通过 2D 组件中的缺陷进行远程代码执行。
(CVE-2013-5907)

- Oracle Java 的 Networking 组件中存在信息泄露和安全绕过缺陷。(CVE-2014-0368)

- Oracle Java 中的漏洞允许远程攻击者通过 Serviceability 组件中的缺陷绕过安全功能。(CVE-2014-0373)

- Oracle Java 中的漏洞允许远程攻击者通过 JAXP 组件中的缺陷绕过安全功能。(CVE-2014-0376)

- Oracle Java 中的信息泄露缺陷允许远程攻击者通过 JSSE 组件中的缺陷访问关于加密密钥的信息。
(CVE-2014-0411)

- Oracle Java 中的漏洞允许远程攻击者通过 JAAS 组件中的缺陷绕过安全功能。(CVE-2014-0416)

- Oracle Java 中存在不明漏洞,原因在于 2D 组件中的缺陷。(CVE-2014-0417)

- Oracle Java 中的漏洞允许通过 JNDI 组件中的缺陷进行远程代码执行。
(CVE-2014-0422)

- 在读取 XML 数据时,Oracle Java 的 Beans 组件中存在信息泄露和拒绝服务缺陷。(CVE-2014-0423)

- Oracle Java 中的漏洞允许通过 COBRA 组件中的缺陷进行远程代码执行。
(CVE-2014-0428)

解决方案

补丁按版本提供,可以从 AIX 网站下载。

另见

http://www.nessus.org/u?d6aa2211

http://www.nessus.org/u?aacaab25

http://www.nessus.org/u?70623e16

http://www.nessus.org/u?1d08dc51

http://www.nessus.org/u?4ca2561a

http://www.nessus.org/u?a624fae8

http://www.nessus.org/u?aa3fc787

http://www.ibm.com/developerworks/java/jdk/aix/service.html#levels

插件详情

严重性: Critical

ID: 76871

文件名: aix_java_jan2014_advisory.nasl

版本: 1.7

类型: local

发布时间: 2014/7/28

最近更新时间: 2021/1/4

依存关系: ssh_get_info.nasl

风险信息

VPR

风险因素: Medium

分数: 6.5

CVSS v2

风险因素: Critical

基本分数: 10

时间分数: 8.7

矢量: AV:N/AC:L/Au:N/C:C/I:C/A:C

时间矢量: E:ND/RL:OF/RC:C

漏洞信息

CPE: cpe:/o:ibm:aix, cpe:/a:oracle:java

必需的 KB 项: Host/AIX/lslpp, Host/local_checks_enabled, Host/AIX/version

易利用性: No known exploits are available

补丁发布日期: 2014/3/6

漏洞发布日期: 2013/10/21

参考资料信息

CVE: CVE-2013-5878, CVE-2013-5884, CVE-2013-5887, CVE-2013-5888, CVE-2013-5889, CVE-2013-5896, CVE-2013-5898, CVE-2013-5899, CVE-2013-5907, CVE-2013-5910, CVE-2014-0368, CVE-2014-0373, CVE-2014-0375, CVE-2014-0376, CVE-2014-0387, CVE-2014-0403, CVE-2014-0410, CVE-2014-0411, CVE-2014-0415, CVE-2014-0416, CVE-2014-0417, CVE-2014-0422, CVE-2014-0423, CVE-2014-0424, CVE-2014-0428

BID: 64875, 64882, 64894, 64899, 64907, 64912, 64914, 64915, 64916, 64918, 64919, 64920, 64921, 64922, 64924, 64925, 64926, 64927, 64928, 64930, 64931, 64932, 64933, 64935, 64937