Amazon Linux AMI:java-1.8.0-openjdk (ALAS-2015-571) (Bar Mitzvah) (Logjam)

critical Nessus 插件 ID 84931
全新!漏洞优先级评级 (VPR)

Tenable 测算每个漏洞的动态 VPR。VPR 将漏洞信息与威胁情报和机器学习算法相结合,预测哪些漏洞最有可能在攻击中被利用。了解详细信息: VPR 的定义及其与 CVSS 的区别。

VPR 得分: 9

简介

远程 Amazon Linux AMI 主机缺少安全更新。

描述

发现 2D、CORBA、JMX、Libraries 以及 OpenJDK 的 RMI 组件中存在多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。
(CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、CVE-2015-4732、CVE-2015-4733)

在 OpenJDK Libraries 组件验证在线证书状态协议 (OCSP) 响应的方式中发现一个缺陷。未能正确处理 nextUpdate 日期不明的 OCSP 响应,原因是其具有无限有效性,从而可能导致将已撤销的 X.509 证书解释为有效。(CVE-2015-4748)

已发现 OpenJDK 中的 JCE 组件在多种情况下未能使用常量时间比较。攻击者可能利用此缺陷,使用非常量时间比较测量用于执行操作的时间,从而泄露敏感信息。(CVE-2015-2601)

已发现 OpenJDK 安全组件中的 GCM(Galois 计数器模式)实现未能正确执行空值检查。此问题可能导致,当应用程序在 GCM 模式下使用块密码执行加密时,Java 虚拟机发生崩溃。
(CVE-2015-2659)

在 RC4 加密算法中发现一个缺陷。使用特定密钥进行 RC4 加密时,攻击者可能在不知晓加密密钥的情况下获取加密文本的部分纯文本。(CVE-2015-2808)

请注意,通过此更新,OpenJDK 现在可以默认禁用 RC4 TLS/SSL 加密套件以解决 CVE-2015-2808 问题。

发现 TLS 协议构建 Diffie-Hellman (DH) 密钥交换的方式中存在缺陷。中间人攻击者能够利用此缺陷在密钥交换期间强制使用弱 512 位出口级密钥,允许其解密所有流量。
(CVE-2015-4000)

请注意,此更新强制 OpenJDK 中的 TLS/SSL 客户端实现拒绝大小在 768 位以下的 DH 密钥,从而避免会话降级至出口级密钥。

现已发现 OpenJDK 中的 JNDI 组件未能正确处理 DNS 解析。攻击者可能触发 DNS 错误并导致 Java 应用程序使用 JNDI 消耗内存和 CPU 时间,并进一步阻碍 DNS 解析。(CVE-2015-4749)

在 OpenJDK 的 JMX 和 2D 组件中发现多种信息泄漏缺陷。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制。
(CVE-2015-2621、CVE-2015-2632)

在建立到 IP 地址识别主机的 TLS/SSL 连接时,OpenJDK JSSE 组件执行 X.509 证书身份验证的方式中发现一个缺陷。在某些情况下,如果发布证书对应主机名为 IP 地址解析结果,而不是 IP 地址,则可能将证书视为有效并接受证书。
(CVE-2015-2625)

在 OpenJDK 的 Hotspot 组件创建性能统计数据和错误日志文件的方式中发现多种不安全的临时文件使用问题。本地攻击者可能通过符号链接攻击,令使用 OpenJDK 的受害者覆盖任意文件。

解决方案

请运行“yum update java-1.8.0-openjdk”更新系统。

另见

https://alas.aws.amazon.com/ALAS-2015-571.html

插件详情

严重性: Critical

ID: 84931

文件名: ala_ALAS-2015-571.nasl

版本: 2.10

类型: local

代理: unix

发布时间: 2015/7/23

最近更新时间: 2019/10/16

依存关系: ssh_get_info.nasl

风险信息

风险因素: Critical

VPR 得分: 9

CVSS v2.0

基本分数: 10

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS v3.0

基本分数: 5.5

矢量: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

漏洞信息

CPE: cpe:2.3:o:amazon:linux:*:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.8.0-openjdk:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.8.0-openjdk-debuginfo:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.8.0-openjdk-demo:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.8.0-openjdk-devel:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.8.0-openjdk-headless:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.8.0-openjdk-javadoc:*:*:*:*:*:*:*, p-cpe:2.3:a:amazon:linux:java-1.8.0-openjdk-src:*:*:*:*:*:*:*

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可利用: true

易利用性: Exploits are available

补丁发布日期: 2015/7/22

漏洞发布日期: 2015/1/21

参考资料信息

CVE: CVE-2015-4000, CVE-2015-0383, CVE-2015-2808, CVE-2015-2590, CVE-2015-2601, CVE-2015-2621, CVE-2015-2625, CVE-2015-2628, CVE-2015-2632, CVE-2015-4731, CVE-2015-4732, CVE-2015-4733, CVE-2015-4748, CVE-2015-4749, CVE-2015-4760, CVE-2015-2659, CVE-2015-3149

RHSA: 2015:1228

ALAS: 2015-571