远程主机上安装的 Oracle（旧称 Sun）Java SE 或 Java for Business 的版本低于 8 Update 25、7 Update 71、6 Update 85 或 5 Update 75。因此，它受到以下组件中的安全问题影响：

- 2D
 - AWT
 - Deployment
 - Hotspot
 - JAXP
 - JSSE
 - JavaFX
 - Libraries
 - Security

更新后的 java-1.8.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。

已发现 OpenJDK 中的库组件无法正确处理文件名中使用的包含 NUL 字节的条目的 ZIP 存档。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2014-6562)

在 OpenJDK 的库、2D 和热点组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2014-6506、CVE-2014-6531、CVE-2014-6502、CVE-2014-6511、CVE-2014-6504、CVE-2014-6519）

已发现即使在禁用外部实体替换的情况下，OpenJDK 的 JAXP 组件中的 StAX XML 解析器也会执行外部参数实体的扩展。远程攻击者可利用此缺陷，针对使用 StAX 解析器解析不受信任的 XML 文档的应用程序执行 XML 外部实体 (XXE) 攻击。
(CVE-2014-6517)

已发现 OpenJDK 中的热点组件无法正确处理畸形的共享存档文件。能够修改不同用户的虚拟机使用的共享存档文件的本地攻击者可能利用此缺陷升级其权限。(CVE-2014-6468)

已发现 OpenJDK 中的 DatagramSocket 实现无法对连接的套接字上接收的数据包执行源地址检查。远程攻击者可利用此漏洞，使其数据包作为来自预期来源的数据包进行处理。
(CVE-2014-6512)

已发现 OpenJDK 的 JSSE 组件中的 TLS/SSL 实现无法在恢复会话之后的重新协商期间正确地验证服务器身份，导致恶意 TLS/SSL 服务器可能针对使用 JSSE 和客户端证书认证的客户端执行三倍握手攻击。(CVE-2014-6457)

已发现 OpenJDK 中的 CipherInputStream 类实现没有正确处理特定异常。这可能导致攻击者通过此类影响处理的加密流的完整性。(CVE-2014-6558)

CVE-2014-6512 由 Red Hat 产品安全的 Florian Weimer 发现。

建议所有 java-1.8.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

Oracle 关键修补程序更新公告 - 2014 年 10 月

描述：

关键修补程序更新 (CPU) 为多种安全漏洞的修补程序集合。

更多信息请访问：
http://www.oracle.com/technetwork/topics/security/cpuoct2014-1972960.html

已发现 OpenJDK 中的库组件无法正确处理文件名中使用的包含 NUL 字节的条目的 ZIP 存档。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2014-6562)

在 OpenJDK 的库、2D 和热点组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2014-6506、CVE-2014-6531、CVE-2014-6502、CVE-2014-6511、CVE-2014-6504、CVE-2014-6519）

已发现即使在禁用外部实体替换的情况下，OpenJDK 的 JAXP 组件中的 StAX XML 解析器也会执行外部参数实体的扩展。远程攻击者可利用此缺陷，针对使用 StAX 解析器解析不受信任的 XML 文档的应用程序执行 XML 外部实体 (XXE) 攻击。
(CVE-2014-6517)

已发现 OpenJDK 中的热点组件无法正确处理畸形的共享存档文件。能够修改不同用户的虚拟机使用的共享存档文件的本地攻击者可能利用此缺陷升级其权限。(CVE-2014-6468)

已发现 OpenJDK 中的 DatagramSocket 实现无法对连接的套接字上接收的数据包执行源地址检查。远程攻击者可利用此漏洞，使其数据包作为来自预期来源的数据包进行处理。
(CVE-2014-6512)

已发现 OpenJDK 的 JSSE 组件中的 TLS/SSL 实现无法在恢复会话之后的重新协商期间正确地验证服务器身份，导致恶意 TLS/SSL 服务器可能针对使用 JSSE 和客户端证书认证的客户端执行三倍握手攻击。(CVE-2014-6457)

已发现 OpenJDK 中的 CipherInputStream 类实现没有正确处理特定异常。这可能导致攻击者通过此类影响处理的加密流的完整性。(CVE-2014-6558)

必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

已发现 OpenJDK 中的库组件无法正确处理文件名中使用的包含 NUL 字节的条目的 ZIP 存档。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2014-6562)

在 OpenJDK 的库、2D 和热点组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2014-6506、CVE-2014-6531、CVE-2014-6502、CVE-2014-6511、CVE-2014-6504、CVE-2014-6519）

已发现即使在禁用外部实体替换的情况下，OpenJDK 的 JAXP 组件中的 StAX XML 解析器也会执行外部参数实体的扩展。远程攻击者可利用此缺陷，针对使用 StAX 解析器解析不受信任的 XML 文档的应用程序执行 XML 外部实体 (XXE) 攻击。
(CVE-2014-6517)

已发现 OpenJDK 中的热点组件无法正确处理畸形的共享存档文件。能够修改不同用户的虚拟机使用的共享存档文件的本地攻击者可能利用此缺陷升级其权限。(CVE-2014-6468)

已发现 OpenJDK 中的 DatagramSocket 实现无法对连接的套接字上接收的数据包执行源地址检查。远程攻击者可利用此漏洞，使其数据包作为来自预期来源的数据包进行处理。
(CVE-2014-6512)

已发现 OpenJDK 的 JSSE 组件中的 TLS/SSL 实现无法在恢复会话之后的重新协商期间正确地验证服务器身份，导致恶意 TLS/SSL 服务器可能针对使用 JSSE 和客户端证书认证的客户端执行三倍握手攻击。(CVE-2014-6457)

已发现 OpenJDK 中的 CipherInputStream 类实现没有正确处理特定异常。这可能导致攻击者通过此类影响处理的加密流的完整性。(CVE-2014-6558)

来自 Red Hat 安全公告 2014:1636：

更新后的 java-1.8.0-openjdk 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

java-1.8.0-openjdk 程序包提供 OpenJDK 8 Java Runtime Environment 和 OpenJDK 8 Java 软件开发工具包。

已发现 OpenJDK 中的库组件无法正确处理文件名中使用的包含 NUL 字节的条目的 ZIP 存档。不受信任的 Java 应用程序或小程序可利用此缺陷绕过 Java 沙盒限制。(CVE-2014-6562)

在 OpenJDK 的库、2D 和热点组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制。
（CVE-2014-6506、CVE-2014-6531、CVE-2014-6502、CVE-2014-6511、CVE-2014-6504、CVE-2014-6519）

已发现即使在禁用外部实体替换的情况下，OpenJDK 的 JAXP 组件中的 StAX XML 解析器也会执行外部参数实体的扩展。远程攻击者可利用此缺陷，针对使用 StAX 解析器解析不受信任的 XML 文档的应用程序执行 XML 外部实体 (XXE) 攻击。
(CVE-2014-6517)

已发现 OpenJDK 中的热点组件无法正确处理畸形的共享存档文件。能够修改不同用户的虚拟机使用的共享存档文件的本地攻击者可能利用此缺陷升级其权限。(CVE-2014-6468)

已发现 OpenJDK 中的 DatagramSocket 实现无法对连接的套接字上接收的数据包执行源地址检查。远程攻击者可利用此漏洞，使其数据包作为来自预期来源的数据包进行处理。
(CVE-2014-6512)

已发现 OpenJDK 的 JSSE 组件中的 TLS/SSL 实现无法在恢复会话之后的重新协商期间正确地验证服务器身份，导致恶意 TLS/SSL 服务器可能针对使用 JSSE 和客户端证书认证的客户端执行三倍握手攻击。(CVE-2014-6457)

已发现 OpenJDK 中的 CipherInputStream 类实现没有正确处理特定异常。这可能导致攻击者通过此类影响处理的加密流的完整性。(CVE-2014-6558)

CVE-2014-6512 由 Red Hat 产品安全的 Florian Weimer 发现。

建议所有 java-1.8.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

远程主机受到 GLSA-201502-12 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

在 Oracle 的 Java SE 开发工具包和运行时环境中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

上下文有关的攻击者可能能够执行任意代码，泄露、更新、插入或删除某些数据。
 变通方案：

目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
78481	Oracle Java SE 多种漏洞（2014 年 10 月 CPU）	Nessus	Windows	2014/10/15	2022/4/11	critical
78459	RHEL 6：java-1.8.0-openjdk (RHSA-2014:1636)	Nessus	Red Hat Local Security Checks	2014/10/15	2021/1/14	high
79186	CentOS 6：java-1.8.0-openjdk (CESA-2014:1636)	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	high
79208	SuSE 11.3 安全更新：Java OpenJDK（SAT 修补程序编号 9906）	Nessus	SuSE Local Security Checks	2014/11/12	2021/1/19	critical
78849	Scientific Linux 安全更新：SL6.x (i386/x86_64) 中的 java-1.8.0-openjdk	Nessus	Scientific Linux Local Security Checks	2014/11/4	2021/1/14	high
78482	Oracle Java SE 多种漏洞（2014 年 10 月 CPU）(Unix)	Nessus	Misc.	2014/10/15	2024/4/19	critical
78562	Amazon Linux AMI：java-1.8.0-openjdk (ALAS-2014-432)	Nessus	Amazon Linux Local Security Checks	2014/10/20	2018/4/18	high
78638	Oracle Linux 6：java-1.8.0-openjdk (ELSA-2014-1636)	Nessus	Oracle Linux Local Security Checks	2014/10/23	2021/1/14	high
81370	GLSA-201502-12：Oracle JRE/JDK：多种漏洞	Nessus	Gentoo Local Security Checks	2015/2/16	2021/1/11	critical

检测

插件搜索

critical

high

high

critical

high

critical

high

high

critical