此 java-1_8_0-ibm 更新已更新到 8.0-2.10 版，修复了下列安全问题 (bsc#963937)：

- CVE-2015-5041：在某些情况下可调用非公共接口方法

- CVE-2015-7575：TLS 协议允许 TLS 握手期间以 MD5 哈希函数签署 ServerKeyExchange 消息时，碰撞攻击造成安全性比预期等级低。攻击者可利用此漏洞，使用中间人技术冒充 TLS 服务器并取得凭据。

- CVE-2015-8126：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8472：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2016-0402：与 Networking 组件相关的不明漏洞不会影响机密性和可用性，但会对完整性造成部分影响

- CVE-2016-0448：与 JMX 组件相关的不明漏洞允许远程攻击者取得敏感信息

- CVE-2016-0466：与 JAXP 组件相关的不明漏洞允许远程攻击者造成拒绝服务

- CVE-2016-0475：与 Libraries 组件相关的不明漏洞对机密性和完整性造成部分影响，对可用性没有影响

- CVE-2016-0483：与 AWT 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

- CVE-2016-0494：与 2D 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

修复了以下缺陷：

- bsc#960402：解决 devel 程序包中的程序包冲突

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2016:0098 公告中提及的多个漏洞的影响。

  - IBM JDK：J9 JVM 允许代码调用非公共接口方法 (CVE-2015-5041)

  - 密钥交换协议存在针对 MD5 的 TLS 1.2 脚本冲突攻击 (SLOTH) (CVE-2015-7575)

  - libpng：png_get_PLTE/png_set_PLTE 函数中的缓冲区溢出漏洞（CVE-2015-8126、CVE-2015-8472）

  - OpenJDK：URL 反序列化不一致（Networking，8059054）(CVE-2016-0402)

  - OpenJDK：记录 RMI 连接机密（JMX，8130710）(CVE-2016-0448)

  - OpenJDK：执行 totalEntitySizeLimit 不充分（JAXP，8133962）(CVE-2016-0466)

  - OpenJDK：PBE 密钥长度错误（Libraries，8138589）(CVE-2016-0475)

  - OpenJDK：JPEG 解码器中的边界检查不正确（AWT，8139017）(CVE-2016-0483)

  - ICU：IndicRearrangementProcessor 中存在整数符号问题（OpenJDK 2D，8140543）(CVE-2016-0494)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 java-1.6.0-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6 Supplementary。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

IBM Java SE 版本 6 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。有关以上缺陷的更多信息，请参阅“参考”部分中列出的 IBM Java “安全警报”页面。（CVE-2015-5041、CVE-2015-7575、CVE-2015-7981、CVE-2015-8126、CVE-2015-8472、CVE-2015-8540、CVE-2016-0402、CVE-2016-0448、CVE-2016-0466、CVE-2016-0483、CVE-2016-0494）

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

建议所有 java-1.6.0-ibm 用户升级到这些到更新后的程序包，其中包含 IBM Java SE 6 SR16-FP20 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

远程 Redhat Enterprise Linux 5/6 主机上安装的程序包受到 RHSA-2016:1430 公告中提及的多个漏洞影响。

  - OpenJDK：kerberos 领域名称泄露（JGSS、8048030）(CVE-2015-4734)

  - OpenJDK：XML 解析期间的哈希表和列表使用效率较低（JAXP，8068842）(CVE-2015-4803)

  - OpenJDK：缺少对 ObjectStreamClass 初始化是否正确的检查（Serializatio，8103671）(CVE-2015-4805)

  - OpenJDK：HttpURLConnection 标头限制绕过（Libraries，8130193）(CVE-2015-4806)

  - Oracle JDK：已在 7u91 和 8u65 中修复的不明漏洞 (Deployment) (CVE-2015-4810)

  - OpenJDK：StubGenerator 中的权限检查不充分（CORBA，8076383）(CVE-2015-4835)

  - OpenJDK：CMS 代码中的 OOB 访问（2D，8086092）(CVE-2015-4840)

  - OpenJDK：user.dir 位置泄露（JAXP，8078427）(CVE-2015-4842)

  - OpenJDK：java.nio 缓冲区整数溢出问题（Libraries，8130891）(CVE-2015-4843)

  - ICU：布局引擎中缺少边界检查（OpenJDK 2D，8132042）(CVE-2015-4844)

  - OpenJDK：DGCImpl 中使用了错误的访问控制上下文（RMI，8080688）(CVE-2015-4860)

  - OpenJDK：受保护的方法可通过 DirectMethodHandle 用作接口方法 (Libraries) (CVE-2015-4871)

  - OpenJDK：AlgorithmChecker 执行的限制不完整（Security，8131291）(CVE-2015-4872)

  - OpenJDK：IIOPInputStream 中的 String 对象反序列化错误（CORBA，8076387）(CVE-2015-4882)

  - OpenJDK：DGCClient 中使用了错误的访问控制上下文（RMI，8076413）(CVE-2015-4883)

  - OpenJDK：MaxXMLNameLimit 执行不完整（JAXP，8086733）(CVE-2015-4893)

  - Oracle JDK：已在 6u105、7u91 和 8u65 中修复的不明漏洞 (Deployment) (CVE-2015-4902)

  - OpenJDK：RemoteObjectInvocationHandler 中的代理类检查不充分（RMI，8076339）(CVE-2015-4903)

  - IBM JDK：本地泄露 kerberos 凭据缓存 (CVE-2015-5006)

  - IBM JDK：J9 JVM 允许代码调用非公共接口方法 (CVE-2015-5041)

  - 密钥交换协议存在针对 MD5 的 TLS 1.2 脚本冲突攻击 (SLOTH) (CVE-2015-7575)

  - libpng：png_convert_to_rfc1123 中存在越界读取 (CVE-2015-7981)

  - libpng：png_get_PLTE/png_set_PLTE 函数中的缓冲区溢出漏洞（CVE-2015-8126、CVE-2015-8472）

  - libpng：png_check_keyword() 中存在读取下溢 (CVE-2015-8540)

  - IBM JDK：IBM JVM 中存在缓冲区溢出漏洞 (CVE-2016-0264)

  - IBM JDK：CORBA 组件中 invoke 方法的不安全使用，CVE-2013-3009 修复错误 (CVE-2016-0363)

  - IBM JDK：CORBA 中不安全的反序列化，CVE-2013-5456 修复错误 (CVE-2016-0376)

  - OpenJDK：URL 反序列化不一致（Networking，8059054）(CVE-2016-0402)

  - OpenJDK：记录 RMI 连接机密（JMX，8130710）(CVE-2016-0448)

  - OpenJDK：执行 totalEntitySizeLimit 不充分（JAXP，8133962）(CVE-2016-0466)

  - OpenJDK：JPEG 解码器中的边界检查不正确（AWT，8139017）(CVE-2016-0483)

  - ICU：IndicRearrangementProcessor 中存在整数符号问题（OpenJDK 2D，8140543）(CVE-2016-0494)

  - OpenJDK：ObjectInputStream 中的线程一致性检查不充分（Serialization，8129952）(CVE-2016-0686)

  - OpenJDK：字节类型检查不充分（Hotspot，8132051）(CVE-2016-0687)

  - Oracle JDK：已在 6u115、7u101 和 8u91 中修复的不明漏洞 (2D)（CVE-2016-3422、CVE-2016-3443）

  - OpenJDK：非常量时间 GCM 身份验证标签比较（JCE，8143945）(CVE-2016-3426)

  - OpenJDK：无限制身份验证凭据反序列化（JMX，8144430）(CVE-2016-3427)

  - Oracle JDK：已在 6u115、7u101 和 8u91 中修复的不明漏洞 (Deployment) (CVE-2016-3449)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AIX 主机上安装的 Java SDK 版本受到下列组件中多种漏洞的影响：

- 2D
 - AWT
 - IBM J9 JVM
 - JAXP
 - JMX
 - Libraries
 - Networking
 - Security

java-1_6_0-ibm 此更新更新到了 6.0-16.20，修复了以下问题 (bsc#963937)

- CVE-2015-5041：在某些情况下可调用非公共接口方法

- CVE-2015-7575：TLS 协议允许 TLS 握手期间以 MD5 哈希函数签署 ServerKeyExchange 消息时，碰撞攻击造成安全性比预期等级低。攻击者可利用此漏洞，使用中间人技术冒充 TLS 服务器并取得凭据。

- CVE-2015-7981：libpng 允许远程攻击者取得敏感信息，这是由于 png_convert_to_rfc1123 函数越界读取所导致。攻击者可利用此漏洞取得敏感信息

- CVE-2015-8126：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8472：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8540：libpng 容易遭受缓冲区溢出影响，这是由于 pngwutil.c 中 png_check_keyword 的读取下溢所导致。远程攻击者可通过超长参数，造成缓冲区溢出并在系统上执行任意代码，或造成应用程序崩溃。

- CVE-2016-0402：与 Networking 组件相关的不明漏洞不会影响机密性和可用性，但会对完整性造成部分影响

- CVE-2016-0448：与 JMX 组件相关的不明漏洞允许远程攻击者取得敏感信息

- CVE-2016-0466：与 JAXP 组件相关的不明漏洞允许远程攻击者造成拒绝服务

- CVE-2016-0483：与 AWT 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

- CVE-2016-0494：与 2D 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

修复了以下缺陷：

- bsc#960402：解决 devel 程序包中的程序包冲突

- bsc#960286：解决字体子程序包中的程序包冲突

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机上安装的 IBM Java 版本为 6.0 < 6.0.16.20/6.1 < 6.1.8.20/7.0 < 7.0.9.30/7.1 < 7.1.3.30/8.0 < 8.0.2.10。因此，其会受到 2016 年 1 月 IBM 安全更新公告中提及的多个漏洞影响。

  - IBM SDK, Java Technology Edition 6 SR16 FP20 之前版本、6 R1 至 SR8 FP20 版本、7 至 SR9 FP30 版本及 7 R1 至 SR3 FP30 版本中的 J9 JVM 允许远程攻击者通过调用非公共接口方法获取敏感信息或注入数据。(CVE-2015-5041)

  - 在 libpng 1.0.x 至 1.0.64 版本、1.2.x 至 1.2.54 版本、1.4.x 至 1.4.17 版本中，png.c 中的 png_convert_to_rfc1123 函数允许远程攻击者通过图像文件中构建的 tIME 区块数据触发越界读取，从而获取敏感的进程内存信息。(CVE-2015-7981)

  - 在 libpng 0.90 至 0.99 版本、1.0.x 至 1.0.66 版本、1.1.x 版本、1.2.x 至 1.2.56 版本、1.3.x 版本、1.4.x 至 1.4.19 版本以及 1.5.x 至 1.5.26 版本中，pngwutil.c 的 png_check_keyword 函数中存在整数下溢漏洞，该漏洞允许远程攻击者通过将空格字符用作 PNG 图像中的关键字来触发越界读取，从而造成不明影响。(CVE-2015-8540)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

java-1_7_0-ibm 的此更新更新到了 7.0-9.30，修复了以下问题 (bsc#963937)：

- CVE-2015-5041：在某些情况下可调用非公共接口方法

- CVE-2015-7575：TLS 协议允许 TLS 握手期间以 MD5 哈希函数签署 ServerKeyExchange 消息时，碰撞攻击造成安全性比预期等级低。攻击者可利用此漏洞，使用中间人技术冒充 TLS 服务器并取得凭据。

- CVE-2015-7981：libpng 允许远程攻击者取得敏感信息，这是由于 png_convert_to_rfc1123 函数越界读取所导致。攻击者可利用此漏洞取得敏感信息

- CVE-2015-8126：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8472：由于 png_set_PLTE() 和 png_get_PLTE() 函数的不当边界检查，导致 libpng 中发生缓冲区溢出

- CVE-2015-8540：libpng 容易遭受缓冲区溢出影响，这是由于 pngwutil.c 中 png_check_keyword 的读取下溢所导致。远程攻击者可通过超长参数，造成缓冲区溢出并在系统上执行任意代码，或造成应用程序崩溃。

- CVE-2016-0402：与 Networking 组件相关的不明漏洞不会影响机密性和可用性，但会对完整性造成部分影响

- CVE-2016-0448：与 JMX 组件相关的不明漏洞允许远程攻击者取得敏感信息

- CVE-2016-0466：与 JAXP 组件相关的不明漏洞允许远程攻击者造成拒绝服务

- CVE-2016-0483：与 AWT 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

- CVE-2016-0494：与 2D 组件相关的不明漏洞会造成全面的机密性、完整性及可用性影响

修复了以下缺陷：

- bsc#960402：解决 devel 程序包中的程序包冲突

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

IBM Java 已更新到版本 6.0-16.20，修复了多种安全问题。

有关更多信息，请访问 <a href='http://www.ibm.com/developerworks/java/jdk/alerts/'>http://www.ibm.com/developerworks/java/jdk/alerts/</a>。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

更新后的 java-1.7.1-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7 Supplementary。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

IBM Java SE 版本 7 Release 1 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。有关以上缺陷的更多信息，请参阅“参考”部分中列出的 IBM Java “安全警报”页面。（CVE-2015-5041、CVE-2015-7575、CVE-2015-7981、CVE-2015-8126、CVE-2015-8472、CVE-2015-8540、CVE-2016-0402、CVE-2016-0448、CVE-2016-0466、CVE-2016-0483、CVE-2016-0494）

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

建议所有 java-1.7.1-ibm 用户升级这些更新程序包，其中包含 IBM Java SE 7R1 SR3-FP30 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

更新后的 java-1.7.0-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 5 Supplementary。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

IBM Java SE 版本 7 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。有关以上缺陷的更多信息，请参阅“参考”部分中列出的 IBM Java “安全警报”页面。（CVE-2015-5041、CVE-2015-7575、CVE-2015-7981、CVE-2015-8126、CVE-2015-8472、CVE-2015-8540、CVE-2016-0402、CVE-2016-0448、CVE-2016-0466、CVE-2016-0483、CVE-2016-0494）

注意：此更新也不允许在证书路径处理中使用 MD5 哈希算法。将 MD5 从在 java.security 文件中定义的 jdk.certpath.disabledAlgorithms 安全属性中删除可重新启用 MD5 的使用。

建议所有 java-1.7.0-ibm 用户升级到这些到更新后的程序包，其中包含 IBM Java SE 7 SR9-FP30 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
88692	SUSE SLES12 安全更新：java-1_8_0-ibm (SUSE-SU-2016:0390-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/11	2021/1/6	critical
88554	RHEL 7：java-1.8.0-ibm (RHSA-2016:0098)	Nessus	Red Hat Local Security Checks	2016/2/3	2024/4/21	critical
88557	RHEL 5 / 6：java-1.6.0-ibm (RHSA-2016:0101) (SLOTH)	Nessus	Red Hat Local Security Checks	2016/2/3	2019/10/24	critical
92400	RHEL 5/6：java-1.7.0-ibm 和 java-1.7.1-ibm (RHSA-2016:1430)	Nessus	Red Hat Local Security Checks	2016/7/19	2024/4/21	critical
89053	AIX Java 公告：java_jan2016_advisory.asc（2016 年 1 月 CPU）(SLOTH)	Nessus	AIX Local Security Checks	2016/3/1	2023/4/21	critical
89961	SUSE SLES11 安全更新：java-1_6_0-ibm (SUSE-SU-2016:0770-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/3/16	2021/1/19	critical
160369	IBM Java 6.0 < 6.0.16.20 / 6.1 < 6.1.8.20 / 7.0 < 7.0.9.30 / 7.1 < 7.1.3.30 / 8.0 < 8.0.2.10 多个漏洞（2016 年 1 月 1 日）	Nessus	Misc.	2022/4/29	2023/10/31	critical
88710	SUSE SLES11 安全更新：java-1_7_0-ibm (SUSE-SU-2016:0433-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/12	2021/1/19	critical
89657	SUSE SLES11 安全更新：java-1_7_0-ibm (SUSE-SU-2016:0636-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/3/4	2021/1/19	critical
89989	SUSE SLES10 安全更新：java-1_6_0-ibm (SUSE-SU-2016:0776-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/3/17	2021/1/6	critical
88555	RHEL 6 / 7：java-1.7.1-ibm (RHSA-2016:0099) (SLOTH)	Nessus	Red Hat Local Security Checks	2016/2/3	2019/10/24	critical
88556	RHEL 5：java-1.7.0-ibm (RHSA-2016:0100) (SLOTH)	Nessus	Red Hat Local Security Checks	2016/2/3	2019/10/24	critical
88709	SUSE SLES11 安全更新：java-1_6_0-ibm (SUSE-SU-2016:0431-1) (SLOTH)	Nessus	SuSE Local Security Checks	2016/2/12	2021/1/19	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical