更新到 icedtea-web 的版本 1.1.4 以修复以下问题：

- CVE-2011-3377：IcedTea-Web：二级域的子域和后缀域 SOP 绕过

- PR778：Jar 下载和服务器证书验证死锁

来自 Red Hat 安全公告 2011:1441：

更新后的 icedtea-web 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

IcedTea-Web 项目提供基于 Netx 项目的 Java Web 浏览器插件以及 Java Web Start 的实现。
它还包含用于对插件和 Web Start 实现的部署设置进行管理的配置工具。

在 IcedTea-Web 浏览器插件的同源策略实现中发现一个缺陷。恶意 Java 小程序可利用此缺陷打开与非来源主机的网络连接，从而违反同源策略。(CVE-2011-3377)

所有 IcedTea-Web 用户应升级这些更新后的程序包，其中将 IcedTea-Web 升级到了 1.0.6 版以修正此问题。必须重新启动使用 IcedTea-Web 浏览器插件的 Web 浏览器，才能使此更新生效。

Deepak Bhole 发现 IcedTea Web 浏览器插件中的同源策略 (SOP) 实现存在一个缺陷。这可能允许远程攻击者建立与本不应允许的特定主机的连接。(CVE-2011-3377)

Juliano Rizzo 和 Thai Duong 发现用于 TLS/SSL 的分块 AES 加密算法分块容易受到选择明文攻击。这可允许远程攻击者查看机密数据。(CVE-2011-3389)

已发现在 Internet 内部对象请求代理协议 (IIOP) 反序列化代码中存在一个类型混淆缺陷。远程攻击者可通过对恶意输入进行反序列化来利用此缺陷造成不受信任的应用程序或小程序执行任意代码。
(CVE-2011-3521)

已发现 Java 脚本引擎未执行 SecurityManager 检查。这可允许远程攻击者造成不受信任的应用程序或小程序以 JVM 的完整权限执行任意代码。(CVE-2011-3544)

已发现 InputStream 类使用全局缓冲区来存储跳过的输入字节。攻击者可能利用此缺陷来获得对敏感信息的访问权限。(CVE-2011-3547)

已发现 AWTKeyStroke 类中存在一个漏洞。远程攻击者可造成不受信任的应用程序或小程序执行任意代码。(CVE-2011-3548)

已发现 Java2D 实现的 TransformHelper 类中存在一个整数溢出漏洞。远程攻击者可利用此缺陷，通过令应用程序或小程序崩溃来造成拒绝服务，或可能执行任意代码。(CVE-2011-3551)

已发现在 SecurityManager 限制下运行的应用程序的可用 UDP 套接字默认数量设置得过高。远程攻击者可通过恶意应用程序或小程序来耗尽可用的 UDP 套接字，从而利用此缺陷对同一个 JVM 中运行的其他小程序或应用程序造成拒绝服务。(CVE-2011-3552)

已发现 XML Web 服务的 Java API (JAX-WS) 可能未正确暴露出堆栈跟踪。远程攻击者可能利用此缺陷获得对敏感信息的访问权限。(CVE-2011-3553)

已发现 pack200 JAR 文件的解包程序未对错误进行充分的检查。攻击者可能通过特别构建的 pack200 JAR 文件来造成拒绝服务或可能执行任意代码。(CVE-2011-3554)

已发现 RMI 注册实现未正确限制远程执行代码的权限。远程攻击者可利用此问题以提升的权限来执行代码。
（CVE-2011-3556、CVE-2011-3557）

已发现 HotSpot VM 可能崩溃，从而允许攻击者造成拒绝服务或可能泄漏敏感信息。(CVE-2011-3558)

已发现 HttpsURLConnection 类在特定情况中未正确执行 SecurityManager 检查。这可允许远程攻击者绕过 HTTPS 连接方面的限制。
(CVE-2011-3560)。

IcedTea-Web 项目提供基于 Netx 项目的 Java Web 浏览器插件以及 Java Web Start 的实现。
它还包含用于对插件和 Web Start 实现的部署设置进行管理的配置工具。

在 IcedTea-Web 浏览器插件的同源策略实现中发现一个缺陷。恶意 Java 小程序可利用此缺陷打开与非来源主机的网络连接，从而违反同源策略。(CVE-2011-3377)

所有 IcedTea-Web 用户应升级这些更新后的程序包，其中将 IcedTea-Web 升级到了 1.0.6 版以修正此问题。必须重新启动使用 IcedTea-Web 浏览器插件的 Web 浏览器，才能使此更新生效。

USN-1263-1 修复了 OpenJDK 6 中的漏洞。针对分块 AES 加密算法上的选择明文攻击 (CVE-2011-3389) 的上游修补程序引入了一项回归，导致 TLS/SSL 连接在使用某些算法时失败。此更新修复了该问题。

我们对不便之处表示抱歉。

Deepak Bhole 发现 IcedTea Web 浏览器插件中的同源策略 (SOP) 实现存在一个缺陷。这可能允许远程攻击者建立与本不应允许的特定主机的连接。(CVE-2011-3377)

Juliano Rizzo 和 Thai Duong 发现用于 TLS/SSL 的分块 AES 加密算法分块容易受到选择明文攻击。这可允许远程攻击者查看机密数据。(CVE-2011-3389)

已发现在 Internet 内部对象请求代理协议 (IIOP) 反序列化代码中存在一个类型混淆缺陷。远程攻击者可通过对恶意输入进行反序列化来利用此缺陷造成不受信任的应用程序或小程序执行任意代码。(CVE-2011-3521)

已发现 Java 脚本引擎未执行 SecurityManager 检查。这可允许远程攻击者造成不受信任的应用程序或小程序以 JVM 的完整权限执行任意代码。
(CVE-2011-3544)

已发现 InputStream 类使用全局缓冲区来存储跳过的输入字节。攻击者可能利用此缺陷来获得对敏感信息的访问权限。
(CVE-2011-3547)

已发现 AWTKeyStroke 类中存在一个漏洞。远程攻击者可造成不受信任的应用程序或小程序执行任意代码。
(CVE-2011-3548)

已发现 Java2D 实现的 TransformHelper 类中存在一个整数溢出漏洞。远程攻击者可利用此缺陷，通过令应用程序或小程序崩溃来造成拒绝服务，或可能执行任意代码。(CVE-2011-3551)

已发现在 SecurityManager 限制下运行的应用程序的可用 UDP 套接字默认数量设置得过高。远程攻击者可通过恶意应用程序或小程序来耗尽可用的 UDP 套接字，从而利用此缺陷对同一个 JVM 中运行的其他小程序或应用程序造成拒绝服务。(CVE-2011-3552)

已发现 XML Web 服务的 Java API (JAX-WS) 可能未正确暴露出堆栈跟踪。远程攻击者可能利用此缺陷获得对敏感信息的访问权限。(CVE-2011-3553)

已发现 pack200 JAR 文件的解包程序未对错误进行充分的检查。攻击者可能通过特别构建的 pack200 JAR 文件来造成拒绝服务或可能执行任意代码。
(CVE-2011-3554)

已发现 RMI 注册实现未正确限制远程执行代码的权限。远程攻击者可利用此问题以提升的权限来执行代码。（CVE-2011-3556、CVE-2011-3557）

已发现 HotSpot VM 可能崩溃，从而允许攻击者造成拒绝服务或可能泄漏敏感信息。(CVE-2011-3558)

已发现 HttpsURLConnection 类在特定情况中未正确执行 SecurityManager 检查。这可允许远程攻击者绕过 HTTPS 连接方面的限制。(CVE-2011-3560)。

- 更新到 1.2

- 新功能：

- 签名的 JNLP 支持

- 客户端认证证书支持

- 现在支持通过 itweb-settings 强制执行缓存大小

- 现在支持通过 JNLP 文件进行小程序参数解析

- 改进了用于访问警告对话框的图标

- 安全对话框 UI 已修订，使其在适当时看起来威胁更小

- 补丁（插件、webstart、公共）

- PR618：无法安装 OpenDJ，JavaWebStart 因输入流出现 null 错误而失败

- PR765：所有资源 jars 标记为“lazy”的 JNLP 文件不验证签名，阻止应用程序的启动

- PR788：Elluminate Live! 不运行

- PR804:：javaws 启动程序未正确处理包含空格的文件名

- PR820、bnc#746895：加载 Citrix XenApp 时 IcedTea-Web 1.1.3 造成 Firefox 崩溃

- PR838：JavaScript 执行时，IcedTea 插件因 chrome 浏览器而崩溃

- PR852：Classloader 在网站中的最后一个小程序关闭后未刷新

- RH586194：无法连接到 Juniper VPN 客户端

- PR771：IcedTea-Web 证书验证代码未使用正确的 API

- PR742：IcedTea-Web 最多只检查 1 级深度的证书即声明其不受信任。

- PR789：jrunscript.sh 中的拼写错误

- PR808：在主要 jar 之前枚举缺少的 jar 时，javaws 无法启动

- RH738814：在 ssl 握手时拒绝访问

- 支持使用客户端证书进行认证

- 修复 bnc#737105/FATE#313084：添加补充：
 packageand(broswer(npapi):java-openjdk) 确保在安装 openjdk 和合格的浏览器时引入 Web 插件

- 在相应的部分启用 make 检查

- 更新到 1.1.4（修复 bnc#729870）

- RH742515、CVE-2011-3377：IcedTea-Web：二级域子域和后缀域 SOP 绕过

- PR778：Jar 下载和服务器证书验证死锁

更新后的 icedtea-web 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

IcedTea-Web 项目提供基于 Netx 项目的 Java Web 浏览器插件以及 Java Web Start 的实现。
它还包含用于对插件和 Web Start 实现的部署设置进行管理的配置工具。

在 IcedTea-Web 浏览器插件的同源策略实现中发现一个缺陷。恶意 Java 小程序可利用此缺陷打开与非来源主机的网络连接，从而违反同源策略。(CVE-2011-3377)

所有 IcedTea-Web 用户应升级这些更新后的程序包，其中将 IcedTea-Web 升级到了 1.0.6 版以修正此问题。必须重新启动使用 IcedTea-Web 浏览器插件的 Web 浏览器，才能使此更新生效。

已在 openjdk (icedtea6) 和 icedtea-Web 中识别并修复了安全问题：

1.10.4 版之前的 IcedTea6 允许不受信任的远程 Java Web Start 应用程序以及不受信任的 Java applet 通过与 Networking 有关的未知矢量影响机密性 (CVE-2011-3547)。

1.10.4 版之前的 IcedTea6 允许不受信任的远程 Java Web Start 应用程序以及不受信任的 Java applet 影响机密性、完整性和可用性，与 AWT 有关 (CVE-2011-3548)。

1.10.4 版之前的 IcedTea6 允许远程攻击者通过与 2D 有关的未知矢量影响机密性、完整性和可用性 (CVE-2011-3551)。

1.10.4 版之前的 IcedTea6 允许远程攻击者通过与 Networking 有关的未知矢量影响完整性 (CVE-2011-3552)。

1.10.4 版之前的 IcedTea6 允许经认证的远程用户影响机密性，与 JAXWS 有关 (CVE-2011-3553)。

1.10.4 版之前的 IcedTea6 允许不受信任的远程 Java Web Start 应用程序以及不受信任的 Java applet 通过与 Scripting 有关的未知矢量影响机密性、完整性和可用性 (CVE-2011-3544)。

1.10.4 版之前的 IcedTea6 允许不受信任的远程 Java Web Start 应用程序以及不受信任的 Java applet 通过与 Deserialization 有关的未知矢量影响机密性、完整性和可用性 (CVE-2011-3521)。

1.10.4 版之前的 IcedTea6 允许不受信任的远程 Java Web Start 应用程序以及不受信任的 Java applet 通过未知矢量影响机密性、完整性和可用性 (CVE-2011-3554)。

在 SSL 3 和 TLS 1.0 协议在密码块链接 (CBC) 模式中使用块密码的方式中发现一个缺陷。攻击者可针对混合了受信任和不受信任数据的连接执行选择明文攻击，从而可利用此缺陷来恢复通过此连接所发送的受信任数据部分 (CVE-2011-3389)。

注意：此更新通过将第一个应用程序数据记录字节拆分为单独的 SSL/TLS 协议记录来缓解 CVE-2011-3389 问题。这种缓解可能导致与某些 SSL/TLS 实现之间出现兼容性问题，并可使用 jsse.enableCBCProtection 布尔属性来禁用。可通过在命令行中，于 Java 命令之后附加标记 -Djsse.enableCBCProtection=false 来完成此操作。

1.10.4 版之前的 IcedTea6 允许不受信任的远程 Java Web Start 应用程序以及不受信任的 Java applet 通过与 HotSpot 有关的未知矢量影响机密性 (CVE-2011-3558)。

低于 1.10.4 的 IcedTea6 版本允许远程攻击者影响与 RMI 相关的机密性、完整性以及可用性 (CVE-2011-3556)。

低于 1.10.4 的 IcedTea6 版本允许远程攻击者影响与 RMI 相关的机密性、完整性以及可用性 (CVE-2011-3557)。

1.10.4 版之前的 IcedTea6 允许不受信任的远程 Java Web Start 应用程序以及不受信任的 Java applet 影响机密性和完整性，与 JSSE 有关 (CVE-2011-3560)。

Deepak Bhole 发现 IcedTea 项目 Web 浏览器插件中的同源策略 (SOP) 实现存在一个缺陷。恶意小程序可利用此缺陷绕过 SOP 保护，并打开该 applet 来源的第二层域的任何子域连接，以及来源第二层域后缀的域的任何子域连接。例如，IcedTea-Web 插件允许来自 some.host.example.com 的小程序连接至 other.host.example.com、www.example.com 和 example.com，以及 www.ample.com 或 ample.com。(CVE-2011-3377)。

已在 OpenJDK（Oracle Java 平台的实现）中发现多个漏洞。

- CVE-2011-3377 openjdk-6 程序包中包含的 IcedTea 浏览器插件未正确在具有与所需域名公用后缀的域名中使用的 Web 内容上强制执行同源策略。

- CVE-2011-3563 Java Sound 组件未正确检查数组边界。恶意输入或者不受信任的 Java 应用程序或小程序可利用此缺陷导致 Java 虚拟机崩溃或泄露其部分内存。

- CVE-2011-5035 OpenJDK 嵌入式 Web 服务器未防范过量请求参数，从而导致涉及哈希冲突的拒绝服务漏洞。

- CVE-2012-0497 已发现 Java2D 在将图形渲染对象传递到本机渲染程序之前未正确检查这些对象。这可导致 JVM 崩溃或 Java 沙盒绕过。

- CVE-2012-0501 java.util.zip.ZipFile 使用的 ZIP 中央目录解析器在处理构建的 ZIP 文件时进入本机代码中的无限递归，从而导致拒绝服务。

- CVE-2012-0502 在 AWT KeyboardFocusManager 类中发现一个缺陷，此缺陷可允许不受信任的 Java 小程序获取键盘焦点并可能窃取敏感信息。

- CVE-2012-0503 java.util.TimeZone.setDefault() 方法缺少安全管理器调用，从而允许不受信任的 Java 应用程序或小程序设置新的默认时区。

- CVE-2012-0505 Java 序列化代码将引用泄漏给序列化异常，从而可能将关键对象泄漏给 Java 小程序和应用程序中不受信任的代码。

- CVE-2012-0506 已发现 Java 中的 CORBA 实现未正确保护某些 Corba 对象上的存储库标识符（可使用 _ids() 方法获取）。
 这可用于对本应不可变的数据执行修改。

- CVE-2012-0507 AtomicReferenceArray 类实现未正确检查数组是否为预期的 Object[] 类型。恶意 Java 应用程序或小程序可利用此缺陷造成 Java 虚拟机崩溃或绕过 Java 沙盒限制。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
75529	openSUSE 安全更新：icedtea-web (openSUSE-SU-2011:1251-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
75865	openSUSE 安全更新：icedtea-web (openSUSE-SU-2011:1251-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
68388	Oracle Linux 6：icedtea-web (ELSA-2011-1441)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
56860	Ubuntu 10.04 LTS / 10.10 / 11.04 / 11.10：icedtea-web、openjdk-6、openjdk-6b18 漏洞 (USN-1263-1) (BEAST)	Nessus	Ubuntu Local Security Checks	2011/11/17	2022/12/5	critical
61171	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 icedtea-web	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
57685	Ubuntu 10.04 LTS / 10.10 / 11.04 / 11.10：openjdk-6、openjdk-6b18 回归 (USN-1263-2) (BEAST)	Nessus	Ubuntu Local Security Checks	2012/1/25	2022/12/5	critical
74568	openSUSE 安全更新：icedtea-web (openSUSE-SU-2012:0371-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
56745	RHEL 6：icedtea-web (RHSA-2011:1441)	Nessus	Red Hat Local Security Checks	2011/11/9	2021/1/14	medium
56809	Mandriva Linux 安全公告：java-1.6.0-openjdk (MDVSA-2011:170)	Nessus	Mandriva Local Security Checks	2011/11/14	2022/12/5	critical
58148	Debian DSA-2420-1：openjdk-6 多个漏洞	Nessus	Debian Local Security Checks	2012/2/29	2022/3/8	critical

检测

插件搜索

medium

medium

medium

critical

medium

critical

medium

medium

critical

critical