保安警報 (A17-04-06): Oracle Java 及 Oracle 產品多個漏洞 (2017年4月)


 

發布日期: 2017 年 4 月 19 日

  
  

描述:

Oracle 發布了重要修補程式更新公告,包括一系列應對 Java SE 和不同 Oracle 產品中多個漏洞的安全修補程式。

在多個受影響的 Java 子部件中,包括AWT、JAXP、JC、 Networking 和 Security,發現了8個漏洞。當中7個漏洞可被未獲授權的攻擊者從遠端攻擊及4個漏洞影響Java的服務端部件。

對於在 Oracle 產品中發現的漏洞,攻擊者可透過實體訪問或通過多種規約,包括 HTTP、 HTTPS、ICMP 、 MySQL Protocol、 Oracle Net、SCTP 、SFT 、SMB 、 SSH、SSL/TLS、 TCP、TLS 及 T3 經網絡從遠端攻擊。

攻擊者可通過多種方式攻擊受影響的系統。對於 Java,攻擊者可誘使用戶開啓載有不可靠 Java applet 或含惡意內容的 Java Web Start 應用程式的特製網頁,或以 Java launcher 起動執行檔。對於其他 Oracle 產品,遠端攻擊者可傳送特製的網絡封包到受影響系統攻擊這些漏洞。


受影響的系統:

  • Oracle Java SE
  • Database
  • Oracle Linux and Virtualization
  • Oracle MySQL Product Suite
  • Oracle and Sun Systems Products Suite
  • Fusion Applications and Middleware

關於受影響產品的詳細資料,請參閱供應商網站相關安全公告中 “Affected Products and Components” 的部分:

http://www.oracle.com/technetwork/security-advisory/cpuapr2017-3236618.html


影響:

成功攻擊這些漏洞可導致執行程式碼、阻斷服務、篡改數據、泄漏資訊或控制受影響的系統,視乎攻擊者利用哪個漏洞而定。


建議:

現已有適用於受影響系統的修補程式。受影響系統的用戶應遵從產品供應商的建議,立即採取行動以降低風險。
Oracle Java SE 產品的修補程式可從以下連結下載:

Java Platform SE 8 (JDK 及 JRE 8 Update 131)
- http://www.oracle.com/technetwork/java/javase/downloads/index.html

關於其他 Oracle 產品,請參閱供應商網站相關安全公告中 “Patch Availability Table and Risk Matrices"的部分:

- http://www.oracle.com/technetwork/security-advisory/cpuapr2017-3236618.html

用戶可聯絡其產品支援供應商,以取得修補程式及有關支援。


進一步資訊:

http://www.oracle.com/technetwork/security-advisory/cpuapr2017-3236618.html
http://www.oracle.com/technetwork/java/javase/documentation/8u-relnotes-2225394.html
https://www.hkcert.org/my_url/en/alert/17041901
https://www.us-cert.gov/ncas/current-activity/2017/04/18/Oracle-Releases-Security-Bulletin
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2004-2761
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-0920
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-5881
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1982
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-2566
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-5209
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0114
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3596
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0204
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3237
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4852
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-5252
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7501
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7940
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0635
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0714
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0729
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0762
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-1181
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2107
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2176
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2510
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3092
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3506
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3607
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3674
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3739
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-5019
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-5407
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-5551
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6290
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6303
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6304
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-8743
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3230
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3232 (to CVE-2017-3234)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3237
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3254
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3288
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3302
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3304 (to CVE-2017-3309)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3329
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3331
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3337
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3393
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3432
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3450 (to CVE-2017-3465)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3467 (to CVE-2017-3522)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3524 (to CVE-2017-3528)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3530 (to CVE-2017-3561)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3563 (to CVE-2017-3565)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3567 (to CVE-2017-3587)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3589 (to CVE-2017-3623)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3625
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3626
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3731
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3732
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5638


Back to Advisories