远程 VMware ESX 主机缺少与安全有关的修补程序。因此，它受到随附的 Java Runtime Environment (JRE) 版本中的多种漏洞影响，包括远程代码执行漏洞。

远程主机上安装的 Sun Java Runtime Environment (JRE) 版本低于 6 Update 17 / 5.0 Update 22 / 1.4.2_24 / 1.3.1_27。此类版本可能会受到以下安全问题的影响：

- 非英语版本上的 Java 更新机制不会在新版本可用时更新 JRE。
 (269868)

- Java Runtime Environment 部署工具包中存在一个命令执行漏洞。(269869)

- Java Web Start 安装程序中的一个问题可能会被用于允许不可信的 Java Web Start 应用程序作为可信的应用程序运行。(269870)

- 存在多种缓冲区和整数溢出漏洞。(270474)

- JRE 中验证 HMAC 摘要方面的一个安全问题可能允许绕过认证。
 (270475)

- JRE 中对经 DER 编码的数据进行解码和解析 HTTP 标头方面的两个漏洞可能分别允许远程客户端导致服务器上的 JRE 耗尽内存，从而导致拒绝服务。(270476)

- ICC_Profile.getInstance 方法中的一个目录遍历漏洞允许远程攻击者确定本地的国际色彩联盟 (ICC) 配置文件是否存在。（缺陷 #6631533）

- 可以通过包含指向国际色彩联盟 (ICC) 配置文件的 UNC 共享路径名的链接的 BMP 文件来进行拒绝服务攻击。
 （缺陷 #6632445）

- 恢复的 classloader 仍可拥有子项，这样可允许远程攻击者通过不明矢量来获得权限（缺陷 #6636650）

- Abstract Window Toolkit (AWT) 不会对可能发送到记录器的对象进行正确限制，这样允许攻击者通过与 Component、KeyboardFocusManager 和 DefaultKeyboardFocusManager 的实现有关的矢量来获取敏感信息。
 （缺陷 #6664512）

- TrueType 字体解析功能中的一个不明漏洞可能导致拒绝服务。（缺陷 #6815780）

- 无法对 getConfigurations 函数返回的数组进行克隆可导致 X11 和 Win32GraphicsDevice 子系统中的多种不明漏洞。（缺陷 #6822057）

- TimeZone.getTimeZone 方法可被远程攻击者用于通过对 zoneinfo（又称为 tz）文件的处理来确定本地文件是否存在。（缺陷 #6824265）

- Java Web Start 未正确处理签名的 JAR 文件和 JNLP 应用程序或小程序之间的交互。（缺陷 #6870531）

CVE-2009-2409 在 SSL 证书验证中弃用了 MD2 (Kaminsky)

CVE-2009-3873 OpenJDK JPEG Image Writer 量化问题 (6862968)

CVE-2009-3875 OpenJDK MessageDigest.isEqual 引入时序攻击漏洞 (6863503)

CVE-2009-3876 OpenJDK ASN.1/DER 输入流解析器拒绝服务 (6864911) CVE-2009-3877

CVE-2009-3869 OpenJDK JRE AWT setDifflCM 堆栈溢出 (6872357)

CVE-2009-3871 OpenJDK JRE AWT setBytePixels 堆溢出 (6872358)

CVE-2009-3874 OpenJDK ImageI/O JPEG 堆溢出 (6874643)

CVE-2009-3728 OpenJDK ICC_Profile 文件存在性检测信息泄漏 (6631533)

CVE-2009-3881 OpenJDK 恢复的 classloader 仍可拥有子项 (6636650)

CVE-2009-3882 CVE-2009-3883 可变的变量中的 OpenJDK 信息泄漏（6657026、6657138）

CVE-2009-3880 OpenJDK UI 日志记录信息泄漏 (6664512)

CVE-2009-3879 OpenJDK GraphicsConfiguration 信息泄漏 (6822057)

CVE-2009-3884 OpenJDK zoneinfo 文件存在性信息泄漏 (6824265)

CVE-2009-3729 JRE TrueType 字体解析崩溃 (6815780)

CVE-2009-3872 JRE JPEG JFIF Decoder 问题 (6862969)

CVE-2009-3886 JRE REGRESSION：通过签名的 Jar 文件运行 JNLP 应用程序和小程序时发生问题 (6870531)

CVE-2009-3865 java-1.6.0-sun：JRE Deployment Toolkit 中的 ACE (6869752)

CVE-2009-3866 java-1.6.0-sun：Java Web Start Installer 中的权限升级 (6872824)

CVE-2009-3867 java-1.5.0-sun、java-1.6.0-sun：通过长 file: URL 参数造成的基于堆栈的缓冲区溢出 (6854303)

CVE-2009-3868 java-1.5.0-sun、java-1.6.0-sun：通过构建的图像文件造成的权限升级，原因是错误的颜色配置文件解析 (6862970)

此更新修复了 Sun Java 6 Runtime Environment 和 Sun Java 6 软件开发工具包中的多个漏洞。这些漏洞概述于 Sun Microsystems 的“Java SE 安全更新的提前通知”页面，列于“参考”部分中。（CVE-2009-2409、CVE-2009-3728、CVE-2009-3729）

CVE-2009-3865、CVE-2009-3866、CVE-2009-3867、CVE-2009-3868，

CVE-2009-3869、CVE-2009-3871、CVE-2009-3872、CVE-2009-3873，

CVE-2009-3874、CVE-2009-3875、CVE-2009-3876、CVE-2009-3877，

CVE-2009-3879、CVE-2009-3880、CVE-2009-3881、CVE-2009-3882，

（CVE-2009-3883、CVE-2009-3884、CVE-2009-3886）

必须重新启动所有正在运行的 Sun Java 实例才能使更新生效。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
89736	VMware ESX Java Runtime Environment (JRE) 多种漏洞 (VMSA-2010-0002)（远程检查）	Nessus	VMware ESX Local Security Checks	2016/3/8	2021/1/6	critical
64831	Sun Java JRE 多种漏洞 (269868 / 269869 / 270476 ...)(Unix)	Nessus	Misc.	2013/2/22	2022/4/11	high
60691	Scientific Linux 安全更新：SL4.x、SL5.x i386/x86_64 中的 java (jdk 1.6.0)	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high

检测

插件搜索

critical

high

high