远程 AIX 主机上安装的 Java SDK 版本受到多种漏洞影响：

- Global Security Kit (GSKit) 中包含对 TLS 状态转换的限制不正确造成的缺陷。中间人攻击者可利用此缺陷降级会话的安全性以使用 EXPORT_RSA 密码。
 这允许攻击者更轻松地破解加密和监控或篡改加密流。(CVE-2015-0138)

- 存在不明缺陷，允许攻击者以升级的权限执行安全管理器下运行的代码。(CVE-2015-0192)

- 由于支持密钥小于或等于 512 位的弱 EXPORT_RSA 加密套件，存在安全功能绕过漏洞（称为 FREAK，可对 RSA 出口级密钥进行分解攻击）。中间人攻击者可将 SSL/TLS 连接降级为使用能够在短时间内分解的 EXPORT_RSA 加密套件，从而允许攻击者拦截和解密流量。(CVE-2015-0204)

- 多种 Java 子组件（包括 2D、Bean、Deployment、JCE、JSSE 和 Tools）中存在多种不明漏洞。（CVE-2015-0458、CVE-2015-0459、CVE-2015-0469、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0486、CVE-2015-0488、CVE-2015-0491）

- 存在不明缺陷，远程攻击者可利用此缺陷绕过权限检查并获取敏感信息的访问权限。(CVE-2015-1914)

- 存在套接字扩展提供程序对 TLS 和 SSL 连接的处理造成的不明缺陷。远程攻击者可利用此缺陷造成拒绝服务。
 (CVE-2015-1916)

- 由于在初始化阶段中，状态数据与使用 RC4 加密算法的密钥数据组合不当，存在安全功能绕过漏洞，也称 Bar Mitzvah。中间人攻击者能够利用此漏洞，使用 LSB 值发动暴力破解，以解密流量。(CVE-2015-2808)

远程主机上安装的 Oracle（旧称 Sun）Java SE 或 Java for Business 的版本低于 8 Update 45、7 Update 79、6 Update 95 或 5 Update 85。因此，它受到以下组件中的安全漏洞影响：

- 2D
 - Beans
 - Deployment
 - Hotspot
 - JavaFX
 - JCE
 - JSSE
 - Tools

OpenJDK 已更新到 jdk8u45-b14，修复了安全问题和缺陷。

修复了以下漏洞：

- CVE-2015-0458：Deployment：未经认证的远程攻击者可通过多项协议执行任意代码。

- CVE-2015-0459：2D：未经认证的远程攻击者可通过多项协议执行任意代码。

- CVE-2015-0460：Hotspot：未经认证的远程攻击者可通过多项协议执行任意代码。

- CVE-2015-0469：2D：未经认证的远程攻击者可通过多项协议执行任意代码。

- CVE-2015-0470：Hotspot：未经认证的远程攻击者可通过多项协议来更新、插入或删除一些 JAVA 可访问的数据

- CVE-2015-0477：Beans：未经认证的远程攻击者可通过多项协议来更新、插入或删除一些 JAVA 可访问的数据

- CVE-2015-0478：JCE：未经认证的远程攻击者可通过多项协议读取一些 JAVA 可访问的数据

- CVE-2015-0480：Tools：未经认证的远程攻击者可通过多项协议来更新、插入或删除一些 JAVA 可访问的数据，也可造成部分拒绝服务（部分 DoS）

- CVE-2015-0484：JavaFX：未经认证的远程攻击者可通过多项协议来读取、更新、插入或删除访问一些 Java 可访问的数据，也可造成部分拒绝服务（部分 DoS）。

- CVE-2015-0486：部署：未经认证的远程攻击者可通过多项协议读取一些 JAVA 可访问的数据

- CVE-2015-0488：JSSE：未经认证的远程攻击者可造成部分拒绝服务（部分 DoS）。

- CVE-2015-0491：2D：未经认证的远程攻击者可通过多项协议执行任意代码。

- CVE-2015-0492：JavaFX：未经认证的远程攻击者可通过多项协议执行任意代码。

更新后的 java-1.8.0-oracle 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7 的 Oracle Java。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Oracle Java SE 版本 8 包括 Oracle Java Runtime Environment 和 Oracle Java 软件开发工具包。

此更新修复了 Oracle Java Runtime Environment 和 Oracle Java 软件开发工具包中的多个漏洞。有关这些缺陷的更多信息，请参阅“参考”部分的“Oracle Java SE 关键修补程序更新公告”页面。
（CVE-2005-1080、CVE-2015-0458、CVE-2015-0459、CVE-2015-0460、CVE-2015-0469、CVE-2015-0470、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0484、CVE-2015-0486、CVE-2015-0488、CVE-2015-0491、CVE-2015-0492）

CVE-2015-0478 问题由 Red Hat 产品安全的 Florian Weimer 发现。

建议所有 java-1.8.0-oracle 用户升级这些更新后的程序包，其中提供了 Oracle Java 8 Update 45 并解决了这些问题。必须重新启动所有正在运行的 Oracle Java 实例，才能使更新生效。

远程主机上安装的 Oracle（旧称 Sun）Java SE 或 Java for Business 的版本低于 8 Update 45、7 Update 79、6 Update 95 或 5 Update 85。因此，它受到以下组件中的安全漏洞影响：

  - 2D
  - Bean
  - 部署
  - Hotspot
  - JavaFX
  - JCE
  - JSSE
  - Tools

远程主机受到 GLSA-201603-11 中所述漏洞的影响（Oracle JRE/JDK：多种漏洞）

Oracle 的 JRE 和 JDK 中存在多种漏洞。如需进一步了解，请查阅 CVE 参考信息。
 影响：

远程攻击者可获取信息的访问权限、从远程执行任意代码，并造成拒绝服务。
 变通方案：

目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
84087	AIX Java 公告：java_april2015_advisory.asc (Bar Mitzvah) (FREAK)	Nessus	AIX Local Security Checks	2015/6/10	2023/4/21	critical
82820	Oracle Java SE 多种漏洞（2015 年 4 月 CPU）(FREAK)	Nessus	Windows	2015/4/16	2022/4/11	critical
83107	openSUSE 安全更新：java-1_8_0-openjdk (openSUSE-2015-332)	Nessus	SuSE Local Security Checks	2015/4/28	2021/1/19	critical
82897	RHEL 6 / 7：java-1.8.0-oracle (RHSA-2015:0854)	Nessus	Red Hat Local Security Checks	2015/4/20	2019/10/24	critical
82821	Oracle Java SE 多种漏洞（2015 年 4 月 CPU）(Unix) (FREAK)	Nessus	Misc.	2015/4/16	2024/4/19	high
89904	GLSA-201603-11：Oracle JRE/JDK：多种漏洞 (Logjam)	Nessus	Gentoo Local Security Checks	2016/3/14	2022/12/5	low

检测

插件搜索

critical

critical

critical

critical

high

low