保安警报(A16-01-06): Oracle Java 及 Oracle 产品多个漏洞 (2016年1月)

描述:

Oracle 发布了重要修补程序更新公告，包括一系列应对 Java SE 和不同 Oracle 产品中多个漏洞的安全修补程序。

在多个受影响的 Java 子部件中，包括 2D 、AWT、JAXP、JMX, Libraries、Networking和Security，发现了 8 个漏洞。当中7个漏洞可被未获授权的攻击者从远程攻击，其中 4 个漏洞更可影响 Java 的服务端部件(例如通过网络服务)。

对于在 Oracle 产品中发现的这些漏洞，攻击者可通过多种规约，包括 HTTP、HTTPS、JMS、MySQL Protocol、NFS、Oracle GoldenGate、Oracle Net、RPC、SMB、SSL/TLS、T3及 WebSocket经网络从远程攻击。

攻击者可通过多种方式攻击受影响的系统。对于 Java，攻击者可诱使用户开启载有不可靠 Java applet 或含恶意内容的 Java Web Start 应用程序的特制网页，或以 Java launcher 起动执行档。对于其他 Oracle 产品，远程攻击者可传送特制的网络封包到受影响系统攻击这些漏洞。

受影响的系统:

• Communications Converged Application Server - Service Controller
• E-Business Suite
• Enterprise Manager
• Fusion Applications & Middleware
• iLearning
• JD Edwards
• MICROS CW Direct
• Oracle and Sun Systems Products Suite
• Oracle GoldenGate
• Oracle Java SE
• Oracle Linux and Virtualization
• Oracle MySQL Product Suite
• Oracle Supply Chain Products Suite
• PeopleSoft Enterprise
• Retail Open Commerce Platform Cloud Service
• Retail Order Broker Cloud Service
• Retail Order Management System Cloud Service
• Retail Point-of-Service

关于受影响产品的详细数据，请参阅供货商网站相关安全公告中 “Affected Products and Components” 的部分：

http://www.oracle.com/technetwork/topics/security/cpujan2016-2367955.html

影响:

成功攻击这些漏洞可导致执行程序代码、服务受阻断、提升权限、取得敏感数据、绕过保安限制或控制受影响系统，视乎攻击者利用哪个漏洞而定。

建议:

现已有适用于受影响系统的修补程序。受影响系统的用户应遵从产品供货商的建议，立即采取行动以降低风险。

Oracle Java SE 产品的修补程序可从以下链接下载：

• Java Platform SE 8 (JDK 及 JRE 8 Update 71)
  http://www.oracle.com/technetwork/java/javase/downloads/index.html

关于其他 Oracle 产品，请参阅供货商网站相关安全公告中 “Patch Availability Table and Risk Matrices＂的部分:

http://www.oracle.com/technetwork/topics/security/cpujan2016-2367955.html

用户可联络其产品支持供货商，以取得修补程序及有关支持。

进一步信息:

http://www.oracle.com/technetwork/topics/security/cpujan2016-2367955.html
http://www.oracle.com/technetwork/java/javase/8u71-relnotes-2773756.html
https://www.us-cert.gov/ncas/current-activity/2016/01/19/Oracle-Releases-Security-Bulletin
https://www.hkcert.org/my_url/zh/alert/16012001
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1741
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-2186
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0050
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0107
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3583
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0235
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0286
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1793
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3153
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3183
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3195
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4000
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4808
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4885
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4919
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4920 (至CVE-2015-4926)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-5307
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-6013 (至CVE-2015-6015)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7183
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7575
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7744
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-8104
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-8126
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-8370
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0401 (至CVE-2016-0406)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0409
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0411 (至CVE-2016-0602)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0605 (至CVE-2016-0611)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0614
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0616
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0618