Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:L/Au:N/C:C/I:C/A:C)
Производитель ПО
Наименование ПО
java-1.6.0-openjdk
(any)
java-1.6.0-openjdk-demo
(any)
java-1.6.0-openjdk-devel
(any)
java-1.6.0-openjdk-javadoc
(any)
java-1.6.0-openjdk-src
(any)
Описание
Пакеты java-1.6.0-openjdk содержат OpenJDK 6 Java Runtime Environment и OpenJDK 6 Java Software Development Kit.
Уязвимость, связанная с записью за пределами границ, существует в декодере JPEG компонента AWT в OpenJDK. Эксплуатация данной уязвимости позволяет недоверенным приложениям или апплетам Java обойти ограничения Java-песочницы, а также позволяет вызвать аварийное завершение работы Java-приложений или выполнить произвольный код при помощи специально сформированного JPEG-изображения. (CVE-2016-0483)
Ошибка обработки знакового разряда целых чисел в коде обработки шрифтов компонента 2D в OpenJDK позволяет злоумышленникам выполнить произвольный код и обойти ограничения Java-песочницы, используя специально сформированный файл шрифта.
(CVE-2016-0494)
Уязвимость в компоненте JAXP в OpenJDK, связанная с некорректным применением ограничений totalEntitySizeLimit, позволяет злоумышленникам вызвать чрезмерное потребление ресурсов памяти, используя специально сформированный XML-файл. (CVE-2016-0466)
Множественные уязвимости в компонентах Networking и JMX в OpenJDK позволяют ненадежным Java-приложениям или Java-апплетам обойти ограничений Java-песочницы. (CVE-2016-0402, CVE-2016-0448)
Примечание: данное обновление запрещает использование алгоритма хэширования MD5 при обработке пути сертификации. Разрешить использование MD5 можно, удалив MD5 из параметра jdk.certpath.disabledAlgorithms, указанного в файле java.security.
Для устранения уязвимостей пользователям java-1.6.0-openjdk необходимо обновить систему, используя данные пакеты. Чтобы обновления вступили в силу, необходимо перезапустить все запущенные экземпляры OpenJDK Java.
Уязвимость, связанная с записью за пределами границ, существует в декодере JPEG компонента AWT в OpenJDK. Эксплуатация данной уязвимости позволяет недоверенным приложениям или апплетам Java обойти ограничения Java-песочницы, а также позволяет вызвать аварийное завершение работы Java-приложений или выполнить произвольный код при помощи специально сформированного JPEG-изображения. (CVE-2016-0483)
Ошибка обработки знакового разряда целых чисел в коде обработки шрифтов компонента 2D в OpenJDK позволяет злоумышленникам выполнить произвольный код и обойти ограничения Java-песочницы, используя специально сформированный файл шрифта.
(CVE-2016-0494)
Уязвимость в компоненте JAXP в OpenJDK, связанная с некорректным применением ограничений totalEntitySizeLimit, позволяет злоумышленникам вызвать чрезмерное потребление ресурсов памяти, используя специально сформированный XML-файл. (CVE-2016-0466)
Множественные уязвимости в компонентах Networking и JMX в OpenJDK позволяют ненадежным Java-приложениям или Java-апплетам обойти ограничений Java-песочницы. (CVE-2016-0402, CVE-2016-0448)
Примечание: данное обновление запрещает использование алгоритма хэширования MD5 при обработке пути сертификации. Разрешить использование MD5 можно, удалив MD5 из параметра jdk.certpath.disabledAlgorithms, указанного в файле java.security.
Для устранения уязвимостей пользователям java-1.6.0-openjdk необходимо обновить систему, используя данные пакеты. Чтобы обновления вступили в силу, необходимо перезапустить все запущенные экземпляры OpenJDK Java.
Как исправить
Перед установкой данного обновления убедитесь, что все ранее выпущенные исправления присутствуют в системе.
Подробная информация по установке данного обновления представлена на https://access.redhat.com/knowledge/articles/11258.
Подробная информация по установке данного обновления представлена на https://access.redhat.com/knowledge/articles/11258.
Ссылки
https://rhn.redhat.com/errata/RHSA-2016-0067.html
Источник: CVE
Наименование: CVE-2016-0402
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0402
Источник: CVE
Наименование: CVE-2016-0483
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0483
Источник: CVE
Наименование: CVE-2016-0466
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0466
Источник: CVE
Наименование: CVE-2016-0494
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0494
Источник: CVE
Наименование: CVE-2016-0448
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0448
Источник: CVE
Наименование: CVE-2016-0402
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0402
Источник: CVE
Наименование: CVE-2016-0483
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0483
Источник: CVE
Наименование: CVE-2016-0466
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0466
Источник: CVE
Наименование: CVE-2016-0494
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0494
Источник: CVE
Наименование: CVE-2016-0448
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0448
