在 OpenJDK 的反射 API 中发现两个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。（CVE-2012-3174、CVE-2013-0422）

此勘误表还将 OpenJDK 程序包升级到 IcedTea7 2.3.4。

必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

远程主机上安装的 Oracle（旧称 Sun）Java SE 或 Java for Business 的版本低于 7 Update 11，因此，可能受到以下安全问题的影响：

- Libraries 组件中存在不明问题。(CVE-2012-3174)

- “MBeanInstantiator.findClass”方法中存在错误，可允许远程执行任意代码。
 (CVE-2013-0422)

请注意，根据公告，这些问题仅适用于 Java 客户端部署，并仅通过不受信任的“Java Web Start”应用程序和不受信任的 Java 小程序被利用。

更新后的 java-1.7.0-openjdk 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Software Development Kit。

在 OpenJDK 的反射 API 中发现两个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。（CVE-2012-3174、CVE-2013-0422）

此勘误表还将 OpenJDK 程序包升级到 IcedTea7 2.3.4。
有关更多信息，请参阅“参考”中链接的 NEWS 文件。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

已发现可通过 Java 小程序绕过 OpenJDK 7 的安全机制。如果用户受到诱骗打开恶意网站，则远程攻击者可利用此问题，以调用该程序的用户的权限执行任意代码。

IBM Java 7 已更新到 SR4，修复了各种危急的安全问题和缺陷。

有关更多信息，请参阅“IBM JDK 警报”页面：

http://www.ibm.com/developerworks/java/jdk/alerts/

修复的安全问题：

- / CVE-2012-3174。(CVE-2013-1487 / CVE-2013-1486 / CVE-2013-1478 / CVE-2013-0445 / CVE-2013-1480 / CVE-2013-0441 / CVE-2013-1476 / CVE-2012-1541 / CVE-2013-0446 / CVE-2012-3342 / CVE-2013-0442 / CVE-2013-0450 / CVE-2013-0425 / CVE-2013-0426 / CVE-2013-0428 / CVE-2012-3213 / CVE-2013-0419 / CVE-2013-0423 / CVE-2013-0351 / CVE-2013-0432 / CVE-2013-1473 / CVE-2013-0435 / CVE-2013-0434 / CVE-2013-0409 / CVE-2013-0427 / CVE-2013-0433 / CVE-2013-0424 / CVE-2013-0440 / CVE-2013-0438 / CVE-2013-0443 / CVE-2013-1484 / CVE-2013-1485 / CVE-2013-0437 / CVE-2013-0444 / CVE-2013-0449 / CVE-2013-0431 / CVE-2013-0422)

更新后的 java-1.7.0-openjdk 程序包修复了安全漏洞：

在 OpenJDK 的反射 API 中发现两个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制（CVE-2012-3174、CVE-2013-0422）。

在 OpenJDK 中的 AWT、CORBA、JMX、Libraries 和 Beans 组件中发现多个权限检查不当问题。不可信的 Java 应用程序或小程序可使用这些缺陷来绕过 Java 沙盒限制（CVE-2013-0442、CVE-2013-0445、CVE-2013-0441、CVE-2013-1475、CVE-2013-1476、CVE-2013-0429、CVE-2013-0450、CVE-2013-0425、CVE-2013-0426、CVE-2013-0428、CVE-2013-0444）。

在 2D 和 AWT 组件的图像解析器处理图像栅格参数的方式中，发现多种缺陷。特别构建的图像可导致 Java 虚拟机内存损坏并可能导致以虚拟机权限执行任意代码（CVE-2013-1478、CVE-2013-1480）。

在 AWT 组件的剪贴板处理代码中发现一个缺陷。不可信的 Java 应用程序或小程序可使用此缺陷来访问剪贴板，从而绕过 Java 沙盒限制 (CVE-2013-0432)。

默认 Java 安全属性配置没有限制访问某些 com.sun.xml.internal 程序包。不受信任的 Java 应用程序或小程序可利用此缺陷访问信息，并绕过某些 Java 沙盒限制。此更新列出受限制的完整程序包 (CVE-2013-0435)。

在 JMX、Libraries、Networking 和 JAXP 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制（CVE-2013-0431、CVE-2013-0427、CVE-2013-0433、CVE-2013-0434）。

已发现 RMI 组件的 CGIHandler 类在没有任何审查的情况下，在错误消息中使用用户输入。攻击者可利用此缺陷来执行跨站脚本 (XSS) 攻击 (CVE-2013-0424)。

已发现 JSSE 组件中的 SSL/TLS 实现没有正确强制握手消息排序，从而允许无限次进行握手重新启动。远程攻击者可使用此缺陷，通过不断重新启动握手导致使用 JSSE 的 SSL/TLS 服务消耗过量 CPU (CVE-2013-0440)。

已发现 JSSE 组件没有正确验证 Diffie-Hellman 公钥。SSL/TLS 客户端可能会使用此缺陷来执行小型子群组攻击 (CVE-2013-0443)。

在 OpenJDK 的 JMX 和 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制（CVE-2013-1486、CVE-2013-1484）。

在 OpenJDK 的 Libraries 组件中发现一个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用此缺陷绕过某些 Java 沙盒限制 (CVE-2013-1485)。

已发现使用 CBC 模式加密套件时，OpenJDK 在解密 TLS/SSL 协议加密的记录时泄漏了定时信息。远程攻击者可能会使用此缺陷，通过将 TLS/SSL 服务器用作 padding oracle 从加密数据包中找回明文 (CVE-2013-0169)。

在 2D 组件处理某些样本模型实例的方式中发现整数溢出缺陷。特别构建的示例模式实例可导致 Java 虚拟机内存损坏并可能导致以虚拟机权限执行任意代码 (CVE-2013-0809)。

已发现 2D 组件未正确拒绝某些畸形图像。特别构建的 raster 参数可导致 Java 虚拟机内存损坏并可能导致以虚拟机权限执行任意代码 (CVE-2013-1493)。

更新后的 java-1.7.0-oracle 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6 Supplementary。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Oracle Java SE 版本 7 包括 Oracle Java Runtime Environment 和 Oracle Java 软件开发工具包。

此更新修复了 Oracle Java Runtime Environment 和 Oracle Java 软件开发工具包中的两个漏洞。有关这两个缺陷的更多信息，请参见“参考”部分列出的 Oracle 安全警报页。（CVE-2012-3174、CVE-2013-0422）

Red Hat 意识到可公开利用 CVE-2013-0422，在用户使用启用了 Oracle Java 7 Web 浏览器插件的浏览器访问恶意网页时无需用户交互即可执行代码。

建议所有 java-1.7.0-oracle 用户升级这些更新后的程序包，其中提供了 Oracle Java 7 Update 11 并解决了这些问题。必须重新启动所有正在运行的 Oracle Java 实例，才能使更新生效。

此更新修复了包含一组缺陷的 rhbz#895035，这些缺陷允许执行任意代码（包括通过小程序远程执行）。

强烈建议 Fedora 中的所有 Java 用户立即更新到该版本。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机受到 GLSA-201401-30 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

据报告，在 Oracle Java 实现中存在多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

未经认证的远程攻击者可利用这些漏洞执行任意代码。
 此外，本地或远程攻击者可利用这些漏洞造成不明影响，可能包括远程执行任意代码。
 变通方案：

目前无任何已知的变通方案。

来自 Red Hat 安全公告 2013:0165：

更新后的 java-1.7.0-openjdk 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些程序包提供 OpenJDK 7 Java Runtime Environment 和 OpenJDK 7 Software Development Kit。

在 OpenJDK 的反射 API 中发现两个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制。（CVE-2012-3174、CVE-2013-0422）

此勘误表还将 OpenJDK 程序包升级到 IcedTea7 2.3.4。
有关更多信息，请参阅“参考”中链接的 NEWS 文件。

建议所有 java-1.7.0-openjdk 用户升级这些更新后的程序包，其中解决了这些问题。必须重新启动所有正在运行的 OpenJDK Java 实例，才能使更新生效。

java-1_7_0-openjdk 已更新到 icedtea-2.3.4，修复了多个缺陷和严重安全问题：

- 安全补丁

- S8004933，CVE-2012-3174：改进 MethodHandle 与库的交互

- S8006017，CVE-2013-0422：改进查找解析

- S8006125：更新 MethodHandles 库交互

- 缺陷补丁

- S7197906：BlockOffsetArray::power_to_cards_back() 需要处理 > 32 位偏移

- G422525：修复已启用 PaX 内核的构建

- 使用 gpg-offline 检查 icedtea tarball 的有效性

- 使用 %arm 上的 jamvm

- 使用 icedtea 程序包名称而不是 jamvm 版本的受保护 openjdk

- 修复 armv5 版本

- 更新到 java access bridge 1.26.2

- 缺陷补丁版本，主要是 64 位 JNI 和 JVM 支持

- 修复 AWT 代码中的段错误 - (bnc#792951)

- 添加 openjdk-7-src-b147-awt-crasher.patch

- 关闭 pre 11.4 distros 上的 pulseaudio

更新后的 java-1.7.0-ibm 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6 Supplementary。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

IBM Java SE 版本 7 包括 IBM Java Runtime Environment 和 IBM Java 软件开发工具包。

此更新修复了 IBM Java Runtime Environment 和 IBM Java 软件开发工具包中的多个漏洞。详细的漏洞描述信息链接自 IBM“安全警报”页面，此页面列于“参考”部分中。（CVE-2012-1541、CVE-2012-3174、CVE-2012-3213、CVE-2012-3342、CVE-2013-0351、CVE-2013-0409、CVE-2013-0419、CVE-2013-0422、CVE-2013-0423、CVE-2013-0424、CVE-2013-0425、CVE-2013-0426、CVE-2013-0427、CVE-2013-0428、CVE-2013-0431、CVE-2013-0432、CVE-2013-0433、CVE-2013-0434、CVE-2013-0435、CVE-2013-0437、CVE-2013-0438、CVE-2013-0440、CVE-2013-0441、CVE-2013-0442、CVE-2013-0443、CVE-2013-0444、CVE-2013-0445、CVE-2013-0446、CVE-2013-0449、CVE-2013-0450、CVE-2013-0809、CVE-2013-1473、CVE-2013-1476、CVE-2013-1478、CVE-2013-1480、CVE-2013-1484、CVE-2013-1485、CVE-2013-1486、CVE-2013-1487、CVE-2013-1493）

建议所有 java-1.7.0-ibm 用户升级到这些到更新后的程序包，其中包含 IBM Java SE 7 SR4 版本。必须重新启动所有正在运行的 IBM Java 实例才能使更新生效。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
63607	Scientific Linux 安全更新：SL5.x、SL6.x i386/x86_64 中的 java-1.7.0-openjdk	Nessus	Scientific Linux Local Security Checks	2013/1/17	2022/5/25	critical
64840	Oracle Java SE 7 < Update 11 多种漏洞 (Unix)	Nessus	Misc.	2013/2/22	2022/5/25	critical
63581	CentOS 5 / 6：java-1.7.0-openjdk (CESA-2013:0165)	Nessus	CentOS Local Security Checks	2013/1/17	2022/5/25	critical
63609	Ubuntu 12.10：openjdk-7 vulnerabilities (USN-1693-1)	Nessus	Ubuntu Local Security Checks	2013/1/17	2022/5/25	critical
65246	SuSE 11.2 安全更新：Java（SAT 修补程序编号 7454）	Nessus	SuSE Local Security Checks	2013/3/13	2022/5/25	critical
63590	RHEL 5/6：java-1.7.0-openjdk (RHSA-2013:0165)	Nessus	Red Hat Local Security Checks	2013/1/17	2024/4/27	critical
63521	Oracle Java SE 7 < Update 11 多种漏洞	Nessus	Windows	2013/1/14	2022/5/25	high
66107	Mandriva Linux 安全公告：java-1.7.0-openjdk (MDVSA-2013:095)	Nessus	Mandriva Local Security Checks	2013/4/20	2022/12/5	critical
63534	RHEL 5 / 6：java-1.7.0-oracle (RHSA-2013:0156)	Nessus	Red Hat Local Security Checks	2013/1/15	2022/5/25	critical
63585	Fedora 17：java-1.7.0-openjdk-1.7.0.9-2.3.4.fc17 (2013-0868)	Nessus	Fedora Local Security Checks	2013/1/17	2022/5/25	critical
72139	GLSA-201401-30：Oracle JRE/JDK：多种漏洞	Nessus	Gentoo Local Security Checks	2014/1/27	2022/12/5	critical
63584	Fedora 18：java-1.7.0-openjdk-1.7.0.9-2.3.4.fc18 (2013-0853)	Nessus	Fedora Local Security Checks	2013/1/17	2022/5/25	critical
63586	Fedora 16：java-1.7.0-openjdk-1.7.0.9-2.3.4.fc16 (2013-0888)	Nessus	Fedora Local Security Checks	2013/1/17	2022/5/25	critical
68709	Oracle Linux 5 / 6：java-1.7.0-openjdk (ELSA-2013-0165)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2022/5/25	critical
75022	openSUSE 安全更新：java-1_7_0-openjdk (openSUSE-SU-2013:0199-1)	Nessus	SuSE Local Security Checks	2014/6/13	2022/5/25	critical
65204	RHEL 5 / 6：java-1.7.0-ibm (RHSA-2013:0626)	Nessus	Red Hat Local Security Checks	2013/3/12	2022/5/25	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

high

critical

critical

critical

critical

critical

critical

critical

critical

critical