openSUSE 安全更新:java-1_8_0-openjdk (openSUSE-2016-944)

critical Nessus 插件 ID 92774
全新!插件严重性现在使用 CVSS v3

计算的插件严重性默认已更新为使用 CVSS v3。没有 CVSS v3 分数的插件将回退到 CVSS v2 来计算严重性。可以在设置下拉列表中切换严重性显示首选项。

简介

远程 openSUSE 主机缺少安全更新。

描述

此 java-1_8_0-openjdk 更新可修复下列问题:

- jdk8u101 版的升级 (icedtea 3.1.0)

- 3.1.0 版的新增内容 (2016-07-25):

- 安全补丁

- S8079718、CVE-2016-3458:IIOP 输入流挂钩 (boo#989732)

- S8145446、CVE-2016-3485:完美的管道放置(仅限 Windows)(boo#989734)

- S8146514:强制执行 GCM 限制

- S8147771:Javax 自定义策略下静态保护域的构建

- S8148872、CVE-2016-3500:全面的名称检查 (boo#989730)

- S8149070:强制执行更新排序

- S8149962、CVE-2016-3508:更好地描述 XML 处理 (boo#989731)

- S8150752:共享类数据

- S8151925:改善字体参考

- S8152479、CVE-2016-3550:编码字节流 (boo#989733)

- S8153312:限制 AppCDS 行为

- S8154475、CVE-2016-3587:清除查找可见性 (boo#989721)

- S8155981、CVE-2016-3606:强化字节码验证 (boo#989722)

- S8155985、CVE-2016-3598:持续参数处理 (boo#989723)

- S8158571、CVE-2016-3610:其他方法处理验证 (boo#989725)

- CVE-2016-3552 (boo#989726)

- CVE-2016-3511 (boo#989727)

- CVE-2016-3503 (boo#989728)

- CVE-2016-3498 (boo#989729)

- 新功能

- S8145547、PR1061:[AWT/Swing] Linux 上的 GTK 3 条件支持

- PR2821:支持以 --disable-headful 构建 OpenJDK

- PR2931、G478960:通过 fontconfig 提供 Infinality 支持

- PR3079:提供在 x86_64 上构建 Shenandoah 的选项

- OpenJDK 8 u92 build 14 的导入

- S6869327:添加新 C2 标记,保留计数循环中的安全点。

- S8022865:[TESTBUG] 需要修订压缩的 Oops 测试

- S8029630:线程 id 在错误报告中应显示为十六进制数字

- S8029726:在 OS X 中,部分 dtrace 探测名称与 Solaris 不匹配

- S8029727:在 OS X 中,dtrace 探测 Call<type>MethodA/Call<type>MethodV 不会被触发。

- S8029728:在 OS X 中,dtrace 探测 SetStaticBooleanField 不会被触发

- S8038184:若 ID 属性值为空白字符串,则 XMLSignature 会抛出 StringIndexOutOfBoundsException

- S8038349:密钥大于 1024 位时,以 DSA 签署 XML 会抛出异常

- S8041501:ImageIO 读取器无法读取无 JFIF 标头的 JPEG。

- S8041900:[macosx] Java 强制使用独立的 GPU

- S8044363:删除 unpack200 可执行文件的特殊版本选项

- S8046471:针对热点 ARCH 使用 OPENJDK_TARGET_CPU_ARCH 而非旧值

- S8046611:sparc/fastdebug 的 gcc 构建错误

- S8047763:将 sparc64 识别为 sparc 平台

- S8048232:8046471 的补丁中断了 PPC64 版本

- S8052396:捕捉缺少字体 cmap 导致的异常

- S8058563:未清除空白 nmethodBucket 条目中的 InstanceKlass::_dependencies 列表

- S8061624:[TESTBUG] 部分测试无法在压缩配置文件下运行,因此会遭到排除

- S8062901:Spliterator 的 Javadoc 中的迭代器拼写不正确

- S8064330:若启用 SunMSCAPI,则会删除默认支持列表中的 SHA224。

- S8065579:应引入用于启动 G1 并发标记周期的 WB 方法

- S8065986:以 Object<>() 调用 super 时,编译器无法执行 NullPointerException

- S8066974:编译器不会推断 lambda 正文中方法的常规类型信息。

- S8067800:阐明 java.time.chrono.Chronology.isLeapYear 的超出范围年份问题

- S8068033:jdk/src/share/bin/java.c 中待定的 JNI 异常

- S8068042:检查 JNI 待定的 jdk/src/share/native/sun/misc/URLClassPath.c

- S8068162:jvmtiRedefineClasses.cpp:guarantee(false) 失败:找到 OLD 和/或 OBSOLETE 方法

- S8068254:方法参考使用了错误的限定类型

- S8074696:调用 findBootType 时,远程调试会话挂起数分钟

- S8074935:与 jdk7 一样,jdk8 keytool 不会针对 RFC 1421 更正验证 pem 文件

- S8078423:[TESTBUG] javax/print/PrintSEUmlauts/PrintSEUmlauts.java 依赖系统区域设置

- S8080492:[Parfait] jdk/src/java/desktop/windows/native/libawt/ 中的未初始化变量

- S8080650:启用存根以正确使用帧指针

- S8122944:所使用的 perfdata 在含有 jdk1.9 的 sparc 区域中被视为过高,造成测试失败

- S8129348:调试程序因为 TRACE_SENDS 而在跟踪模式下挂起

- S8129847:Nashorn 生成的编译方法在 C2 中触发了高内存使用率

- S8130506:用 lambda 参数调用 MethodHandle.invoke 时出现 javac AssertionError

- S8130910:hsperfdata 文件创建在错误的目录中,且如果 /tmp/hsperfdata_<username> 具有错误权限,系统就不会清理该文件

- S8131129:尝试定义重复的 BMH$Species 类

- S8131665:HandshakeHash.getFinishedHash 中的错误异常消息

- S8131782:从静态最终版本加载 Class 时 C1 Class.cast 优化中断

- S8132503:[macosx] 无法在 OS X 上使用 Pinyin IM 输入中文全角句号

- S8133207:JDK-8080115 变更后 ParallelProbes.java 测试失败

- S8133924:JDK-8062518 后 xsltc 选择了不存在的节点时系统可能会抛出 NPE

- S8134007:改善字符串折叠

- S8134759:jdb:最终区块内部的错误步进

- S8134963:[Newtest] 针对变更 G1 记忆集合的粗糙度等级进行的新压力测试

- S8136442:未使证书签名算法依赖于加密套件

- S8137106:未通过 Windows 上的 Java 8u60+ 显示 EUDC(最终用户定义的字符)

- S8138745:在 HotSpot 中实现 ExitOnOutOfMemory 和 CrashOnOutOfMemory

- S8138764:在某些情况下 TreeLock 的使用可被其他同步替换

- S8139373:[TEST_BUG] java/net/MulticastSocket/MultiDead.java 因超时而失败

- S8139424:SIGSEGV,有问题的帧:# V [libjvm.so+0xd0c0cc] void InstanceKlass::oop_oop_iterate_oop_maps_specialized<true ,oopDesc*,MarkAndPushClosure>

- S8139436:sun.security.mscapi.KeyStore 可能加载不完整数据

- S8139751:Javac 因 -XDallowStringFolding=false 而崩溃

- S8139863:[TESTBUG] 需要将 JDK-8134903 的测试移植到 8u-dev

- S8139985:jdk/src/jdk/hprof/agent/share/native/libhprof 中的 JNI 异常待定

- S8140031:SA:搜索线程中的值功能不起作用

- S8140249:如果启用网络流量记录,则 JVM 在启动期间崩溃

- S8140344:新增对 3 位数更新版本号的支持

- S8140587:Atomic*FieldUpdaters 应使用 Class.isInstance 而不是直接类检查

- S8141260:isReachable 在 windows xp 中崩溃

- S8143297:报告的 Nashorn 编译时间单位为纳秒

- S8143397:InetAddress.isReachable(timeout) 似乎未正确运行

- S8143855:frame_zero.cpp 中的错误 printf 格式化

- S8143896:java.lang.Long 以隐含方式转换为双精度

- S8143963:改善 ClassLoader::trace_class_path 以接受额外的 outputStream* 参数

- S8144020:删除作为内部数值类型的 long

- S8144131:ArrayData.getInt 实现未转换为 int32

- S8144483:每个 GC 日志轮转之后紧接着就有一个长安全点暂停

- S8144487:如果 skip_loop_opts 为 true,则 PhaseIdealLoop::build_and_optimize() 必须还原 major_progress 标记

- S8144885:agent/src/os/linux/libproc.h 必须支持 Linux/SPARC 版本

- S8144935:C2:从未计数的循环中删除了安全点

- S8144937:[TEST_BUG] 应针对 compact1 和 compact2 执行排除 testlibrary_tests

- S8145017:新增对 3 位数 hotspot 次要版本号的支持

- S8145099:已改善 SA 无法附加到进程时的错误消息

- S8145442:添加设施以验证 G1 的记忆集合

- S8145466:javac:编译错误中没有行号

- S8145539:(coll) AbstractMap.keySet 和 .values 应是不可变的

- S8145550:超多态调用应使用不含任何 LinkLogic 的 CompiledFunction 变体

- S8145669:apply2call 优化的 callsite 成为超多态后失败

- S8145722:javadoc 中出现 NullPointerException

- S8145754:PhaseIdealLoop::is_scaled_iv_plus_offset() 不匹配 AddI

- S8146147:Java 链接器已编制索引的属性 getter does 对计算的 nashorn 字符串无效

- S8146566:OpenJDK 版本无法处理 LDFLAGS 中的逗号

- S8146725:SignatureAndHashAlgorithm.getSupportedAlgorithms 的问题

- S8146979:因为之前未正确向后移植 8072383,8046471 的向后移植中断了 jdk8u 中的 ppc64 版本

- S8147087:重复使用 PerRegionTable 位图时发生的争用可能导致丢弃的记忆集合条目

- S8147630:错误的测试结果推送到 8u-dev

- S8147845:Varargs Array 函数仍泄漏 long

- S8147857:RMIConnector 未正确记录属性名称

- S8148353:[linux-sparc] Linux SPARC 上 libawt.so 中的崩溃

- S8150791:8u76 L10n 资源文件翻译更新

- OpenJDK 8 u101 build 13 的导入

- S6483657:MSCAPI 提供程序未创建唯一的别名

- S6675699:需要针对具有受限类型的不受限的 ConvI2L 的完整补丁

- S8037557:测试 SessionCacheSizeTests.java 超时

- S8038837:添加对 jarsigner 的支持,用于指定时间戳哈希算法

- S8081778:使用针对 RSA 加速的 Intel x64 CPU 指令

- S8130150:实现 BigInteger.montgomeryMultiply 内部函数

- S8130735:javax.swing.TimerQueue:当其他定时器启动时,该定时器会触发延迟

- S8143913:MSCAPI keystore 应接受 setEntry() 中的 Certificate[]

- S8144313:测试 SessionTimeOutTests 可能超时

- S8146240:三个 nashorn 文件包含“GNU General Public License”标头

- S8146387:测试 SSLSession/SessionCacheSizeTests 套接字接受超时

- S8146669:测试 SessionTimeOutTests 间歇性失败

- S8146993:多个 javax/management/remote/mandatory 回归测试在 JDK-8138811 后失败

- S8147994:[macosx] MacOS/Aqua 上的 trackpad 滚动期间 JScrollPane 向上/向下抖动

- S8151522:默认禁用 8130150 和 8081778 内部函数

- S8151876:(tz) 支持 tzdata2016d

- S8152098:修复 8151522 造成测试 compiler/intrinsics/squaretolen/TestSquareToLen.java 失败

- S8157077:8u101 L10n 资源文件更新

- 向后移植

- S6260348、PR3066:GTK+ L&F JTextComponent 不遵循桌面插入符号闪烁速率

- S6778087、PR1061:getLocationOnScreen() 始终针对鼠标滚轮事件返回 (0, 0)

- S6961123、PR2972:setWMClass 无法使 WM_CLASS 字符串以 NULL 结尾

- S8008657、PR3077:JSpinner setComponentOrientation 不影响文本方向

- S8014212、PR2866:机器人捕获黑屏

- S8029339、PR1061:HiDPI 显示器上的自定义 MultiResolution 图像支持

- S8031145、PR3077:重新检查已关闭的 i18n 测试,确认其是否可移动到 jdk 存储库。

- S8034856、PR3095:编译了 src/solaris/native/sun/security/pkcs11 的 gcc 警告

- S8034857、PR3095:编译了 src/solaris/native/sun/management 的 gcc 警告

- S8035054、PR3095:JarFacade.c 不应包含 ctype.h

- S8035287、PR3095:编译了多个库文件的 gcc 警告

- S8038631、PR3077:针对具有其他功能的 awt.Robot 创建封装程序

- S8039279、PR3077:将 awt 测试移动到 openjdk 存储库

- S8041561、PR3077:JCheckBox 和 JRadioButton 之间的不透明行为不一致

- S8041592、PR3077:[TEST_BUG] 将 42 AWT hw/lw 混合测试移动到 jdk

- S8041915、PR3077:将 8 awt 测试移动到 OpenJDK 回归测试树状结构

- S8043126、PR3077:将 awt 自动化功能测试从 AWT_Events/Lw 和 AWT_Events/AWT 移动到 OpenJDK 存储库

- S8043131、PR3077:将 ShapedAndTranslucentWindows 和 GC 功能 AWT 测试移动到回归树状结构

- S8044157、PR3077:[TEST_BUG] 改善最近提交的 AWT_Mixing 测试

- S8044172、PR3077:[TEST_BUG] 将 4523758 和 AltPlusNumberKeyCombinationsTest 的 regtest 移动到 jdk

- S8044429、PR3077:将 AWT_Modality 的 awt 自动化测试移动到 OpenJDK 存储库

- S8044762、PR2960:com/sun/jdi/OptionTest.java 测试超时

- S8044765、PR3077:将功能测试 AWT_SystemTray/Automated 移动到 openjdk 存储库

- S8047180、PR3077:将功能测试 AWT_Headless/Automated 移动到 OpenJDK 存储库

- S8047367、PR3077:将 awt 自动化测试从 AWT_Modality 移动到 OpenJDK 存储库 - 第 2 部分

- S8048246、PR3077:将 AWT_DnD/Clipboard/Automated 功能测试移动到 OpenJDK

- S8049226、PR2960:com/sun/jdi/OptionTest.java 测试再次超时

- S8049617、PR3077:将 awt 自动化测试从 AWT_Modality 移动到 OpenJDK 存储库 - 第 3 部分

- S8049694、PR3077:将功能 AWT_DesktopProperties/Automated 测试迁移到 OpenJDK

- S8050885、PR3077:将 awt 自动化测试从 AWT_Modality 移动到 OpenJDK 存储库 - 第 4 部分

- S8051440、PR3077:将关于最大化未装饰项目的测试移动到 OpenJDK

- S8052012、PR3077:将 awt 自动化测试从 AWT_Modality 移动到 OpenJDK 存储库 - 第 5 部分

- S8052408、PR3077:将 AWT_BAT 功能测试移动到 OpenJDK(第 3 部分,共 3 部分)

- S8053657、PR3077:[TEST_BUG] 将与未装饰的 Frame/JFrame 相关的某 5 个测试移动到 JDK

- S8054143、PR3077:将 awt 自动化测试从 AWT_Modality 移动到 OpenJDK 存储库 - 第 6 部分

- S8054358、PR3077:将 awt 自动化测试从 AWT_Modality 移动到 OpenJDK 存储库 - 第 7 部分

- S8054359、PR3077:将 awt 自动化测试从 AWT_Modality 移动到 OpenJDK 存储库 - 第 8 部分

- S8055360、PR3077:将 AWT ShapedAndTranslucent 测试的其余部分移动到 OpenJDK

- S8055664、PR3077:将与 setLocationRelativeTo 相关的 14 个测试移动到 jdk

- S8055836、PR3077:将 awt 测试从 AWT_Modality 移动到 OpenJDK 存储库 - 第 9 部分

- S8056911、PR3077:从 ExtendedRobot 类删除内部 API 的使用

- S8057694、PR3077:将 awt 测试从 AWT_Modality 移动到 OpenJDK 存储库 - 第 10 部分

- S8058959,PR1061:
closed/java/awt/event/ComponentEvent/MovedResizedTwiceTest/MovedResizedTwiceTest.java 自动失败

- S8062606、PR3077:修复 java.awt.Robot 类中的一个拼写错误

- S8063102、PR3077:变更开放 awt 回归测试以避免 sun.awt.SunToolkit.realSync,第 1 部分

- S8063104、PR3077:变更开放 awt 回归测试以避免 sun.awt.SunToolkit.realSync,第 2 部分

- S8063106、PR3077:变更开放 swing 回归测试以避免 sun.awt.SunToolkit.realSync,第 1 部分

- S8063107、PR3077:变更开放 swing 回归测试以避免 sun.awt.SunToolkit.realSync,第 2 部分

- S8064573、PR3077:[TEST_BUG] javax/swing/text/AbstractDocument/6968363/Test6968363.ja va 含敌意地按 VK_LEFT 且未释放

- S8064575、PR3077:[TEST_BUG] javax/swing/JEditorPane/6917744/bug6917744.java 按键 100 次且从未释放

- S8064809、PR3077:[TEST_BUG] javax/swing/JComboBox/4199622/bug4199622.java 包含许多 keyPress 但没有一个 keyRelease

- S8067441、PR3077:某些测试失败并显示错误:找不到符号 getSystemMnemonicKeyCodes()

- S8068228、PR3077:测试 closed/java/awt/Mouse/MaximizedFrameTest/MaximizedFrameT est 因 GTKLookAndFeel 而失败

- S8069361、PR1061:SunGraphics2D.getDefaultTransform() 不包含比例系数

- S8073320、PR1061:Windows HiDPI 图形支持

- S8074807、PR3077:修复不必使用内部 API 的某些测试

- S8076315、PR3077:将 4 个手动功能 swing 测试移动到回归套件

- S8078504、PR3094:Zero 缺少 VM_Version::initialize() 的声明

- S8129822、PR3077:定义“headful”jtreg 关键字

- S8132123、PR1061:MultiResolutionCachedImage 不必要地创建了基本映像以获取其大小

- S8133539、PR1061:[TEST_BUG] 将 java/awt/image/MultiResolutionImageTest.java 拆分为两部分以允许受限制的访问

- S8137571、PR1061:Linux HiDPI 图形支持

- S8142406、PR1061:[TEST] MultiResolution 图像:需要包含 @2x 图像损坏情况的测试

- S8145188、PR2945:没有针对整个 JDK 生成的 LocalVariableTable

- S8150258、PR1061:[TEST] HiDPI:针对多分辨率菜单项图标创建测试

- S8150724、PR1061:[TEST] HiDPI:针对多分辨率图标创建测试

- S8150844、PR1061:[hidpi] [macosx] OS X 应将 -Dsun.java2d.uiScale 纳入考虑

- S8151841、PR2882:版本需要其他标记才能用 GCC 6 进行编译 [加上 8149647 和 8032045 的部分]

- S8155613、PR1061:[PIT] AWT_Desktop/Automated/Exceptions/BasicTest 中的崩溃

- S8156020、PR1061:8145547 中断 AIX 且错误地使用 RTLD_NOLOAD

- S8156128、PR1061:Linux 上针对 GTK 3 的 [AWT/Swing] 条件支持测试

- S8158260、PR2991、RH1341258:PPC64:未对齐的 Unsafe.getInt 可导致产生非法指令

- S8159244、PR3074:由 C2 字符串联优化创建的部分初始化字符串对象可能转义

- S8159690、PR3077:[TESTBUG] 用 @key headful 标记 headful 测试。

- S8160294、PR2882、PR3095:某些客户端库无法用 GCC 6 构建

- 缺陷补丁

- PR1958:GTKLookAndFeel 不遵循 gtk-alternative-button-order

- PR2822:向配置而不是制作供给 LIBS & CFLAGS,以避免被 OpenJDK 配置重新发现

- PR2932:以非 automagic 方式支持 ccache

- PR2933:支持 ccache 3.2 和更高版本

- PR2964:基于操作系统设置系统默认值

- PR2974、RH1337583:PKCS#10 证书请求现在使用 CRLF 行结尾而非系统行结尾

- PR3078:删除追溯到 6788347 和 6894807 的重复行

- PR3083、RH1346460:无 ECC 提供程序的 SSL 调试输出中出现回归

- PR3089:删除旧内存限制修补程序

- PR3090、RH1204159:SystemTap 严重混淆多个 JDK

- PR3095:修复 URLClassPath.c 中的警告

- PR3096:删除无作用的 --disable-optimizations 选项

- PR3105:使用 hotspot.map 中的版本创建 tarball 文件名

- PR3106:同时处理 S8079718 引入的拼写正确属性“enableCustomValueHandler”和拼写错误版本

- PR3108:版本 tarball 中不包含 Shenandoah 修补程序

- PR3110:更新 INSTALL 中的 hotspot.map 文档

- 适用时针对平台修复脚本链接 /usr/share/javazi/tzdb.dat (boo#987895)

- 修复以 48 位 va 空间运行的 aarch64 (boo#984684)

解决方案

更新受影响的 java-1_8_0-openjdk 程序包。

另见

https://bugzilla.opensuse.org/show_bug.cgi?id=984684

https://bugzilla.opensuse.org/show_bug.cgi?id=987895

https://bugzilla.opensuse.org/show_bug.cgi?id=989721

https://bugzilla.opensuse.org/show_bug.cgi?id=989722

https://bugzilla.opensuse.org/show_bug.cgi?id=989723

https://bugzilla.opensuse.org/show_bug.cgi?id=989725

https://bugzilla.opensuse.org/show_bug.cgi?id=989726

https://bugzilla.opensuse.org/show_bug.cgi?id=989727

https://bugzilla.opensuse.org/show_bug.cgi?id=989728

https://bugzilla.opensuse.org/show_bug.cgi?id=989729

https://bugzilla.opensuse.org/show_bug.cgi?id=989730

https://bugzilla.opensuse.org/show_bug.cgi?id=989731

https://bugzilla.opensuse.org/show_bug.cgi?id=989732

https://bugzilla.opensuse.org/show_bug.cgi?id=989733

https://bugzilla.opensuse.org/show_bug.cgi?id=989734

插件详情

严重性: Critical

ID: 92774

文件名: openSUSE-2016-944.nasl

版本: 2.4

类型: local

代理: unix

发布时间: 2016/8/8

最近更新时间: 2021/1/19

依存关系: ssh_get_info.nasl

风险信息

VPR

风险因素: High

分数: 7.3

CVSS v2

风险因素: High

基本分数: 9.3

矢量: AV:N/AC:M/Au:N/C:C/I:C/A:C

CVSS v3

风险因素: Critical

基本分数: 9.6

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

漏洞信息

CPE: p-cpe:/a:novell:opensuse:java-1_8_0-openjdk, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-accessibility, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-debuginfo, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-debugsource, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-demo, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-demo-debuginfo, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-devel, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-devel-debuginfo, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-headless, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-headless-debuginfo, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-javadoc, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-src, cpe:/o:novell:opensuse:13.2

必需的 KB 项: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list, Host/cpu

补丁发布日期: 2016/8/5

参考资料信息

CVE: CVE-2016-3458, CVE-2016-3485, CVE-2016-3498, CVE-2016-3500, CVE-2016-3503, CVE-2016-3508, CVE-2016-3511, CVE-2016-3550, CVE-2016-3552, CVE-2016-3587, CVE-2016-3598, CVE-2016-3606, CVE-2016-3610