AG公司云
RedHat清静更新修复OpenJDK1.8.0版本误差
2018-01-19
综述
RedHat宣布清静补丁通告，修复了多个java-1.8.0-openjdk的清静问题。
相关链接：
https://access.redhat.com/errata/RHSA-2018:0095
? OpenJDK的JNDI组件中的LDAPCertStore类未能清静地处置惩罚LDAP引用。攻击者可能使用这个误差获取证书数据。（CVE-2018-2633）
? 使用HTTP/SPNEGO身份验证时，OpenJDK的JGSS组件忽略javax.security.auth.useSubjectCredsOnly属性的值，并始终使用全局凭证。这会导致全局凭证被不可信的Java应用程序使用。（CVE-2018-2634）
? 在某些情形下，OpenJDK的JMX组件无法准确设置SingleEntryRegistry的反序列化过滤器。远程攻击者可能会使用这个误差绕过预期的反序列化限制。（CVE-2018-2637）
? OpenJDK的LDAP组件在把它们添加到LDAP搜索盘问时未能准确地对用户名中的特殊字符举行编码。远程攻击者可能使用这个误差来使用LdapLoginModule类执行的LDAP盘问。（CVE-2018-2588）
? OpenJDK的JNDI组件中的DNS客户端在发送DNS盘问时没有使用随机源端口。这可能会使远程攻击者更容易诱骗对这些盘问的响应。（CVE-2018-2599）
? OpenJDK的I18n组件在加载资源包类时可以使用不可信的搜索路径。外地攻击者可能使用这个误差，通过使Java应用程序加载攻击者控制的类文件来执行另一外地用户的恣意代码。（CVE-2018-2602）
? OpenJDK的Libraries组件未能充分限制读取DER编码输入时分派的内存量。若是远程攻击者剖析了攻击者提供的DER编码输入，则远程攻击者可能会使用这个误差使Java应用程序使用过多的内存。（CVE-2018-2603）
? OpenJDK的JCE组件中的密钥协议实现并不可包管足够强盛的已使用密钥来充分�；ぬ焐墓蚕砻茉�。这可以使攻击密钥协议而不是使用协商神秘的加密破损数据加密更容易。（CVE-2018-2618）
? 在某些情形下，OpenJDK的JGSS组件在外地GSS库封装器中未能准确处置惩罚GSS上下文。远程攻击者可能使用JGSS来使Java应用程序使用先前释放的上下文。（CVE-2018-2629）
? OpenJDK的库，AWT和JNDI组件中的多个类在从序列化表单建设工具实例时没有充分验证输入。特制的输入可能会导致Java应用程序建设具有纷歧致状态的工具，或者在反序列化时使用过多的内存。（CVE-2018-2663，CVE-2018-2677，CVE-2018-2678）
? OpenJDK的Libraries组件中的多个加密密钥类没有准确地同步对其内部数据的会见。这可能会导致多线程Java应用程序对数据应用弱加密，由于使用了已被清零的密钥。（CVE-2018-2579）
? Red Hat Enterprise Linux Server 6 x86_64
? Red Hat Enterprise Linux Server 6 i386
? Red Hat Enterprise Linux Server - Extended Update Support 7.4 x86_64
? Red Hat Enterprise Linux Server - AUS 7.4 x86_64
? Red Hat Enterprise Linux Workstation 7 x86_64
? Red Hat Enterprise Linux Workstation 6 x86_64
? Red Hat Enterprise Linux Workstation 6 i386
? Red Hat Enterprise Linux Desktop 7 x86_64
? Red Hat Enterprise Linux Desktop 6 x86_64
? Red Hat Enterprise Linux Desktop 6 i386
? Red Hat Enterprise Linux for IBM z Systems 7 s390x
? Red Hat Enterprise Linux for IBM z Systems - Extended Update Support 7.4 s390x
? Red Hat Enterprise Linux for Power big endian 7 ppc64
? Red Hat Enterprise Linux for Power big endian - Extended Update Support 7.4 ppc64
? Red Hat Enterprise Linux for Scientific Computing 7 x86_64
? Red Hat Enterprise Linux for Power little endian 7 ppc64le
? Red Hat Enterprise Linux for Scientific Computing 6 x86_64
? Red Hat Enterprise Linux EUS Compute Node 7.4 x86_64
? Red Hat Enterprise Linux for Power little endian - Extended Update Support 7.4 ppc64le
? Red Hat Enterprise Linux Server - TUS 7.4 x86_64
? Red Hat Enterprise Linux for ARM 64 7 aarch64
? Red Hat Enterprise Linux for Power 9 7 ppc64le
? Red Hat Enterprise Linux Server (for IBM Power LE) - 4 Year Extended Update Support 7.4 ppc64le
? Red Hat Enterprise Linux Server - 4 Year Extended Update Support 7.4 x86_64
BasicAttributes反序列化中的无限内存分派（JNDI，8191142）
? BZ - 1534288 - CVE-2018-2677 OpenJDK：
反序列化时代的无限内存分派（AWT，8190289）
? BZ - 1534296 - CVE-2018-2663 OpenJDK：
ArrayBlockingQueue反序列化为纷歧致状态（库，8189284）
? BZ - 1534298 - CVE-2018-2579 OpenJDK：
对加密密钥数据的非同步会见（库，8172525）
? BZ - 1534299 - CVE-2018-2588 OpenJDK：
LdapLoginModule LDAP盘问中用户名编码缺乏（LDAP，8178449）
? BZ - 1534525 - CVE-2018-2602 OpenJDK：
从不受信托的位置加载类（I18n，8182601）
? BZ - 1534543 - CVE-2018-2599 OpenJDK：
DnsClient缺少源端口随机化（JNDI，8182125）
? BZ - 1534553 - CVE-2018-2603 OpenJDK：
DerValue无限内存分派（库，8182387）
? BJ - 1534625 - CVE-2018-2629 OpenJDK：
GSS上下文使用后免费（JGSS，8186212）
? BZ - 1534762 - CVE-2018-2618 OpenJDK：
密钥协议缺乏（JCE，8185292）
? BJ - 1534766 - CVE-2018-2641 OpenJDK：
GTK库加载后使用（AWT，8185325）
? BZ - 1534768 - CVE-2018-2582 OpenJDK：
invokeinterface指令的验证缺乏（Hotspot，8174962）
? BZ - 1534943 - CVE-2018-2634 OpenJDK：
使用HTTP / SPNEGO的全局凭证（JGSS，8186600）
? BZ - 1534970 - CVE-2018-2637 OpenJDK：
SingleEntryRegistry反序列化过滤器的过失设置（JMX，8186998）
? BZ - 1535036 - CVE-2018-2633 OpenJDK：
LDAPCertStore不清静处置惩罚LDAP引用（JNDI，8186606）
RedHat宣布清静补丁通告，修复了多个java-1.8.0-openjdk的清静问题。
相关链接：
https://access.redhat.com/errata/RHSA-2018:0095
误差概述
? 在OpenJDK的Hotspot和AWT组件中发明了多个缺陷。不可信的Java应用程序或小程序可以使用这些误差绕过某些Java沙箱限制。（CVE-2018-2582，CVE-2018-2641）? OpenJDK的JNDI组件中的LDAPCertStore类未能清静地处置惩罚LDAP引用。攻击者可能使用这个误差获取证书数据。（CVE-2018-2633）
? 使用HTTP/SPNEGO身份验证时，OpenJDK的JGSS组件忽略javax.security.auth.useSubjectCredsOnly属性的值，并始终使用全局凭证。这会导致全局凭证被不可信的Java应用程序使用。（CVE-2018-2634）
? 在某些情形下，OpenJDK的JMX组件无法准确设置SingleEntryRegistry的反序列化过滤器。远程攻击者可能会使用这个误差绕过预期的反序列化限制。（CVE-2018-2637）
? OpenJDK的LDAP组件在把它们添加到LDAP搜索盘问时未能准确地对用户名中的特殊字符举行编码。远程攻击者可能使用这个误差来使用LdapLoginModule类执行的LDAP盘问。（CVE-2018-2588）
? OpenJDK的JNDI组件中的DNS客户端在发送DNS盘问时没有使用随机源端口。这可能会使远程攻击者更容易诱骗对这些盘问的响应。（CVE-2018-2599）
? OpenJDK的I18n组件在加载资源包类时可以使用不可信的搜索路径。外地攻击者可能使用这个误差，通过使Java应用程序加载攻击者控制的类文件来执行另一外地用户的恣意代码。（CVE-2018-2602）
? OpenJDK的Libraries组件未能充分限制读取DER编码输入时分派的内存量。若是远程攻击者剖析了攻击者提供的DER编码输入，则远程攻击者可能会使用这个误差使Java应用程序使用过多的内存。（CVE-2018-2603）
? OpenJDK的JCE组件中的密钥协议实现并不可包管足够强盛的已使用密钥来充分�；ぬ焐墓蚕砻茉�。这可以使攻击密钥协议而不是使用协商神秘的加密破损数据加密更容易。（CVE-2018-2618）
? 在某些情形下，OpenJDK的JGSS组件在外地GSS库封装器中未能准确处置惩罚GSS上下文。远程攻击者可能使用JGSS来使Java应用程序使用先前释放的上下文。（CVE-2018-2629）
? OpenJDK的库，AWT和JNDI组件中的多个类在从序列化表单建设工具实例时没有充分验证输入。特制的输入可能会导致Java应用程序建设具有纷歧致状态的工具，或者在反序列化时使用过多的内存。（CVE-2018-2663，CVE-2018-2677，CVE-2018-2678）
? OpenJDK的Libraries组件中的多个加密密钥类没有准确地同步对其内部数据的会见。这可能会导致多线程Java应用程序对数据应用弱加密，由于使用了已被清零的密钥。（CVE-2018-2579）
受影响的产品版本
? Red Hat Enterprise Linux Server 7 x86_64? Red Hat Enterprise Linux Server 6 x86_64
? Red Hat Enterprise Linux Server 6 i386
? Red Hat Enterprise Linux Server - Extended Update Support 7.4 x86_64
? Red Hat Enterprise Linux Server - AUS 7.4 x86_64
? Red Hat Enterprise Linux Workstation 7 x86_64
? Red Hat Enterprise Linux Workstation 6 x86_64
? Red Hat Enterprise Linux Workstation 6 i386
? Red Hat Enterprise Linux Desktop 7 x86_64
? Red Hat Enterprise Linux Desktop 6 x86_64
? Red Hat Enterprise Linux Desktop 6 i386
? Red Hat Enterprise Linux for IBM z Systems 7 s390x
? Red Hat Enterprise Linux for IBM z Systems - Extended Update Support 7.4 s390x
? Red Hat Enterprise Linux for Power big endian 7 ppc64
? Red Hat Enterprise Linux for Power big endian - Extended Update Support 7.4 ppc64
? Red Hat Enterprise Linux for Scientific Computing 7 x86_64
? Red Hat Enterprise Linux for Power little endian 7 ppc64le
? Red Hat Enterprise Linux for Scientific Computing 6 x86_64
? Red Hat Enterprise Linux EUS Compute Node 7.4 x86_64
? Red Hat Enterprise Linux for Power little endian - Extended Update Support 7.4 ppc64le
? Red Hat Enterprise Linux Server - TUS 7.4 x86_64
? Red Hat Enterprise Linux for ARM 64 7 aarch64
? Red Hat Enterprise Linux for Power 9 7 ppc64le
? Red Hat Enterprise Linux Server (for IBM Power LE) - 4 Year Extended Update Support 7.4 ppc64le
? Red Hat Enterprise Linux Server - 4 Year Extended Update Support 7.4 x86_64
修复情形
? BJ - 1534263 - CVE-2018-2678 OpenJDK：BasicAttributes反序列化中的无限内存分派（JNDI，8191142）
? BZ - 1534288 - CVE-2018-2677 OpenJDK：
反序列化时代的无限内存分派（AWT，8190289）
? BZ - 1534296 - CVE-2018-2663 OpenJDK：
ArrayBlockingQueue反序列化为纷歧致状态（库，8189284）
? BZ - 1534298 - CVE-2018-2579 OpenJDK：
对加密密钥数据的非同步会见（库，8172525）
? BZ - 1534299 - CVE-2018-2588 OpenJDK：
LdapLoginModule LDAP盘问中用户名编码缺乏（LDAP，8178449）
? BZ - 1534525 - CVE-2018-2602 OpenJDK：
从不受信托的位置加载类（I18n，8182601）
? BZ - 1534543 - CVE-2018-2599 OpenJDK：
DnsClient缺少源端口随机化（JNDI，8182125）
? BZ - 1534553 - CVE-2018-2603 OpenJDK：
DerValue无限内存分派（库，8182387）
? BJ - 1534625 - CVE-2018-2629 OpenJDK：
GSS上下文使用后免费（JGSS，8186212）
? BZ - 1534762 - CVE-2018-2618 OpenJDK：
密钥协议缺乏（JCE，8185292）
? BJ - 1534766 - CVE-2018-2641 OpenJDK：
GTK库加载后使用（AWT，8185325）
? BZ - 1534768 - CVE-2018-2582 OpenJDK：
invokeinterface指令的验证缺乏（Hotspot，8174962）
? BZ - 1534943 - CVE-2018-2634 OpenJDK：
使用HTTP / SPNEGO的全局凭证（JGSS，8186600）
? BZ - 1534970 - CVE-2018-2637 OpenJDK：
SingleEntryRegistry反序列化过滤器的过失设置（JMX，8186998）
? BZ - 1535036 - CVE-2018-2633 OpenJDK：
LDAPCertStore不清静处置惩罚LDAP引用（JNDI，8186606）
解决计划
用户应该实时升级举行防护，关于怎样应用此次更新来修复上述误差，请参考：
https://access.redhat.com/articles/11258
声 明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任。AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
