远程主机上安装的 Java SDK 版本受到以下漏洞的影响：

- IBM Java SDK 中的权限升级漏洞允许本地攻击者将任意代码注入到共享类缓存中，此漏洞产生的原因是共享类功能的默认配置中的缺陷。其他用户能够执行注入的代码，这可允许攻击者获取升级的权限。
 (CVE-2014-3065)

- Oracle Java 包含与 SSLv3 CBC 模式密码相关的缺陷，称为 POODLE。该漏洞是由于 SSL 3.0 解密使用密码块链接 (CBC) 模式中的块密码进行加密的消息时采用的处理填充字节的方式所引起。如果中间人攻击者能够强制受害的应用程序通过新创建的 SSL 3.0 连接不断地发送同样的数据，就能将选中的加密文本字节在 256 次内解密。(CVE-2014-3566)

- Oracle Java 中的漏洞允许通过 Deployment 子组件中的缺陷进行远程代码执行。
 （CVE-2014-4288、CVE-2014-6492、CVE-2014-6493、CVE-2014-6503、CVE-2014-6532）

- 由于与 SSL/TLS 重新协商期间的服务器证书更换处理相关的缺陷，Oracle Java 中存在会话劫持漏洞。这允许攻击者拦截客户端与服务器之间的通信，以劫持互相认证的会话。
 (CVE-2014-6457)

- Deployment 子组件的 Oracle Java 中存在权限升级漏洞。
 （CVE-2014-6458、CVE-2014-6466）

- Deployment 子组件内 Oracle Java 中存在数据完整性漏洞。（CVE-2014-6476、CVE-2014-6515、CVE-2014-6527）

- 在文件“share/classes/java/util/logging/LogRecord.java”中，“LogRecord::readObject”函数的资源包处理代码的 Oracle Java 中存在权限升级漏洞，这可允许攻击者绕过某些沙盒限制。(CVE-2014-6502)

- “share/classes/java/util/ResourceBundle.java”的属性处理和名称处理代码中的 Oracle Java 存在权限升级漏洞，这可允许攻击者绕过某些沙盒限制。(CVE-2014-6506)

- Oracle Java 在 2D 子组件中包含不明的漏洞。(CVE-2014-6511)

- 由于与 DatagramSocket 实现中数据报套接字的封装相关的缺陷，Oracle Java 中存在信息泄露漏洞。此问题可造成读取源自已连接来源以外的其他来源的数据包，从而允许远程攻击者执行 IP 欺骗。(CVE-2014-6512)

-“Windows/native/sun/awt/splashscreen/splashscreen_sys.c”处理启动图像的方式中存在缺陷，可允许远程代码执行。(CVE-2014-6513)

- “share/classes/java/util/logging/Logger.java”的 Oracle Java 中存在权限升级漏洞，因为它在某些情况下未能检查权限，从而允许攻击者绕过沙盒限制，查看或编辑日志。(CVE-2014-6531)

- 文件“share/classes/javax/crypto/CipherInputStream.java”中与输入密码流相关的缺陷可允许远程攻击者影响数据完整性。
 (CVE-2014-6558)

检测

AIX Java 公告：java_oct2014_advisory.asc (POODLE)

critical Nessus 插件 ID 79626

版本 1.14

版本 1.12

版本 1.14 Jun 26, 2023, 7:02 PM Plugin metadata (Updated exploit attributes.) Plugin Feed: 202306261902
版本 1.12 Apr 21, 2023, 8:33 PM Plugin metadata (adjusted see also links) Plugin Feed: 202304212033