更新后的 java-1.8.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。

已发现 OpenJDK 中的库组件无法正确处理文件名中使用的包含 NUL 字节的条目的 ZIP 存档。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2014-6562)

在 OpenJDK 的库、2D 和热点组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2014-6506、CVE-2014-6531、CVE-2014-6502、CVE-2014-6511、CVE-2014-6504、CVE-2014-6519）

已发现即使在禁用外部实体替换的情况下，OpenJDK 的 JAXP 组件中的 StAX XML 解析器也会执行外部参数实体的扩展。远程攻击者可利用此缺陷，针对使用 StAX 解析器解析不受信任的 XML 文档的应用程序执行 XML 外部实体 (XXE) 攻击。
(CVE-2014-6517)

已发现 OpenJDK 中的热点组件无法正确处理畸形的共享存档文件。能够修改不同用户的虚拟机使用的共享存档文件的本地攻击者可能利用此缺陷升级其权限。(CVE-2014-6468)

已发现 OpenJDK 中的 DatagramSocket 实现无法对连接的套接字上接收的数据包执行源地址检查。远程攻击者可利用此漏洞，使其数据包作为来自预期来源的数据包进行处理。
(CVE-2014-6512)

已发现 OpenJDK 的 JSSE 组件中的 TLS/SSL 实现无法在恢复会话之后的重新协商期间正确地验证服务器身份，导致恶意 TLS/SSL 服务器可能针对使用 JSSE 和客户端证书认证的客户端执行三倍握手攻击。(CVE-2014-6457)

已发现 OpenJDK 中的 CipherInputStream 类实现没有正确处理特定异常。这可能导致攻击者通过此类影响处理的加密流的完整性。(CVE-2014-6558)

CVE-2014-6512 由 Red Hat 产品安全的 Florian Weimer 发现。

建议所有 java-1.8.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

检测

CentOS 6：java-1.8.0-openjdk (CESA-2014:1636)

high Nessus 插件 ID 79186

未找到变更日志