已发现 OpenJDK 中的库组件无法正确处理文件名中使用的包含 NUL 字节的条目的 ZIP 存档。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2014-6562)

在 OpenJDK 的库、2D 和热点组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2014-6506、CVE-2014-6531、CVE-2014-6502、CVE-2014-6511、CVE-2014-6504、CVE-2014-6519）

已发现即使在禁用外部实体替换的情况下，OpenJDK 的 JAXP 组件中的 StAX XML 解析器也会执行外部参数实体的扩展。远程攻击者可利用此缺陷，针对使用 StAX 解析器解析不受信任的 XML 文档的应用程序执行 XML 外部实体 (XXE) 攻击。
(CVE-2014-6517)

已发现 OpenJDK 中的热点组件无法正确处理畸形的共享存档文件。能够修改不同用户的虚拟机使用的共享存档文件的本地攻击者可能利用此缺陷升级其权限。(CVE-2014-6468)

已发现 OpenJDK 中的 DatagramSocket 实现无法对连接的套接字上接收的数据包执行源地址检查。远程攻击者可利用此漏洞，使其数据包作为来自预期来源的数据包进行处理。
(CVE-2014-6512)

已发现 OpenJDK 的 JSSE 组件中的 TLS/SSL 实现无法在恢复会话之后的重新协商期间正确地验证服务器身份，导致恶意 TLS/SSL 服务器可能针对使用 JSSE 和客户端证书认证的客户端执行三倍握手攻击。(CVE-2014-6457)

已发现 OpenJDK 中的 CipherInputStream 类实现没有正确处理特定异常。这可能导致攻击者通过此类影响处理的加密流的完整性。(CVE-2014-6558)

检测

Amazon Linux AMI：java-1.8.0-openjdk (ALAS-2014-432)

high Nessus 插件 ID 78562

未找到变更日志