远程主机上安装的 Java SDK 版本受到以下漏洞的影响：

- 称为 POODLE 的中间人 (MitM) 信息泄露漏洞。该漏洞是由于 SSL 3.0 解密使用密码块链接 (CBC) 模式中的块密码进行加密的消息时采用的处理填充字节的方式所引起。如果 MitM 攻击者能够强制受害的应用程序通过新创建的 SSL 3.0 连接不断发送同样的数据，就能将选中的加密文本字节在 256 次内解密。(CVE-2014-3566)

- 在 OpenJDK 的 2D 组件中的字体解析代码中存在信息泄露缺陷。特别构建的字体文件可利用边界检查缺陷并允许不受信任的 Java 小程序或应用程序泄露 Java 虚拟机内存的部分内容。
 （CVE-2014-6585、CVE-2014-6591）

- 在 OpenJDK 的 Libraries 组件的 MulticastSocket 实现中存在一个空指针取消引用缺陷。不受信任的 Java 小程序或应用程序可利用此缺陷绕过某些 Java 沙盒限制。(CVE-2014-6587)

- OpenJDK 的 JSSE 组件中的 SSL/TLS 实现未能正确检查在 SSL/TLS 连接握手期间是否收到 ChangeCipherSpec。MitM 攻击者可利用此缺陷在未启用加密的情况下强制建立连接。(CVE-2014-6593)

- 在 IBM Java 虚拟机中存在一个不明权限升级漏洞。(CVE-2014-8891)

- 在 Oracle Java SE 的 Libraries 组件中存在一个不明信息泄露漏洞。
 (CVE-2015-0400)

- 在 Oracle Java SE 的 Deployment 组件中存在一个不明信息泄露漏洞。
 (CVE-2015-0403)

- 在 Oracle Java SE 的 Deployment 组件中存在不明拒绝服务和信息泄露漏洞。(CVE-2015-0406)

- 在 OpenJDK 的 Swing 组件中存在一个信息泄露漏洞。不受信任的 Java 小程序或应用程序可利用此缺陷绕过某些 Java 沙盒限制。(CVE-2015-0407)

在 OpenJDK 的 JAX-WS、Libraries 和 RMI 组件中存在多种不当权限检查漏洞。
 不受信任的 Java 小程序或应用程序可利用这些缺陷绕过 Java 沙盒限制。
 （CVE-2015-0412、CVE-2014-6549、CVE-2015-0408）

- 在 OpenJDK 的 Security 组件中的 DER（可辨别编码规则）解码器处理负长度值的方式中存在一个拒绝服务漏洞。特别构建的、以 DER 编码的输入可造成 Java 应用程序在解码时进入无限循环。(CVE-2015-0410)

远程 Redhat Enterprise Linux 5 / 6 主机上安装的程序包受到 RHSA-2015:0136 公告中提及的多个漏洞影响。

  - ICU：字体解析 OOB 读取 (OpenJDK 2D, 8055489) (CVE-2014-6585)

  - ICU：字体解析 OOB 读取 (OpenJDK 2D, 8056276) (CVE-2014-6591)

  - OpenJDK：SSL/TLS 握手期间错误跟踪 ChangeCipherSpec (JSSE, 8057555) (CVE-2014-6593)

  - IBM JDK：在 2015 年 2 月更新中已修复的不明的完整 Java 沙盒绕过 (CVE-2014-8891)

  - IBM JDK：在 2015 年 2 月更新中已修复的不明的部分 Java 沙盒绕过 (CVE-2014-8892)

  - OpenJDK：垃圾回收器中的虚拟引用处理问题 (Hotspot, 8047125) (CVE-2015-0395)

  - OpenJDK：通过文件选择器泄漏目录信息 (Swing, 8055304) (CVE-2015-0407)

  - OpenJDK：在 RMI 传输中使用错误的上下文类装载器 (RMI, 8055309) (CVE-2015-0408)

  - OpenJDK：DER 解码器无限循环 (Security, 8059485) (CVE-2015-0410)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 5 / 6 主机上安装的程序包受到 RHSA-2015:0264 公告中提及的多个漏洞影响。

  - IBM JDK：通过共享的类数据的特权升级问题 (CVE-2014-3065)

  - IBM JDK：Java CMS keystore 提供程序可能允许暴力破解私钥恢复 (CVE-2014-3068)

  - IBM JDK：特权升级问题 (CVE-2014-3086)

  - SSL/TLS：降级旧版加密攻击时的 Padding Oracle (CVE-2014-3566)

  - OpenJDK：SubjectDelegator 保护不足 (JMX, 8029755) (CVE-2014-4209)

  - OpenJDK：克隆传递到代理方法的接口 (Libraries, 8035009) (CVE-2014-4218)

  - OpenJDK：字节码验证不会阻止 ctor 调用 this() 和 super() (Hotspot, 8035119) (CVE-2014-4219)

  - Oracle JDK：已在 6u81、7u65 和 8u11 中修复的不明漏洞 (Deployment)（CVE-2014-4227、CVE-2014-4265）

  - OpenJDK：RSA 伪装问题 (Security, 8031346) (CVE-2014-4244)

  - OpenJDK：阻止具有非公共构造函数的服务实例化 (Security, 8035004) (CVE-2014-4252)

  - OpenJDK：AtomicReferenceFieldUpdater 缺少原始类型检查 (Libraries, 8039520) (CVE-2014-4262)

  - OpenJDK：Diffie-Hellman 公钥验证不充分 (Security, 8037162) (CVE-2014-4263)

  - Oracle JDK：已在 6u85、7u71 和 8u25 中修复的不明漏洞 (Deployment)（CVE-2014-4288、CVE-2014-6458、CVE-2014-6492、CVE-2014-6493、CVE-2014-6503、CVE-2014-6515、CVE-2014-6532）

  - OpenJDK：针对 TLS/SSL 连接的三重握手攻击 (JSSE, 8037066) (CVE-2014-6457)

  - OpenJDK：加载 ResourceBundle 时，LogRecord 使用错误的 CL (Libraries, 8042797) (CVE-2014-6502)

  - OpenJDK：在系统记录器上设置资源包时，权限检查不充分 (Libraries, 8041564) (CVE-2014-6506)

  - ICU：布局引擎 ContextualSubstitution 缺少边界检查 (JDK 2D, 8041540) (CVE-2014-6511)

  - OpenJDK：DatagramSocket 连接的套接字缺少源检查 (Libraries, 8039509) (CVE-2014-6512)

  - OpenJDK：ResourceBundle 名称检查不充分 (Libraries, 8044274) (CVE-2014-6531)

  - OpenJDK：CipherInputStream 不正确的异常处理 (Security, 8037846) (CVE-2014-6558)

  - ICU：字体解析 OOB 读取 (OpenJDK 2D, 8055489) (CVE-2014-6585)

  - OpenJDK：MulticastSocket 空指针取消引用 (Libraries, 8056264) (CVE-2014-6587)

  - ICU：字体解析 OOB 读取 (OpenJDK 2D, 8056276) (CVE-2014-6591)

  - OpenJDK：SSL/TLS 握手期间错误跟踪 ChangeCipherSpec (JSSE, 8057555) (CVE-2014-6593)

  - IBM JDK：在 2015 年 2 月更新中已修复的不明的完整 Java 沙盒绕过 (CVE-2014-8891)

  - IBM JDK：在 2015 年 2 月更新中已修复的不明的部分 Java 沙盒绕过 (CVE-2014-8892)

  - OpenJDK：垃圾回收器中的虚拟引用处理问题 (Hotspot, 8047125) (CVE-2015-0395)

  - Oracle JDK：已在 6u91、7u75 和 8u31 中修复的不明漏洞 (Deployment)（CVE-2015-0403、CVE-2015-0406）

  - OpenJDK：通过文件选择器泄漏目录信息 (Swing, 8055304) (CVE-2015-0407)

  - OpenJDK：在 RMI 传输中使用错误的上下文类装载器 (RMI, 8055309) (CVE-2015-0408)

  - OpenJDK：DER 解码器无限循环 (Security, 8059485) (CVE-2015-0410)

  - OpenJDK：代码特权检查不充分 (JAX-WS, 8054367) (CVE-2015-0412)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
81491	AIX Java 公告：java_feb2015_advisory.asc (POODLE)	Nessus	AIX Local Security Checks	2015/2/24	2023/6/26	critical
81204	RHEL 5 / 6：java-1.5.0-ibm (RHSA-2015:0136)	Nessus	Red Hat Local Security Checks	2015/2/6	2024/4/24	critical
81505	RHEL 5 / 6：Red Hat Satellite IBM Java Runtime (RHSA-2015:0264)	Nessus	Red Hat Local Security Checks	2015/2/25	2024/4/24	low

检测

插件搜索

critical

critical

low