1. 主頁
  2. 保安警報
  3. 保安警報 (A16-04-04)

保安警報 (A16-04-04): Oracle Java 及 Oracle 產品多個漏洞 (2016年4月)


 

發布日期: 2016年 4月 20日

  
  

描述:

Oracle 發布了重要修補程式更新公告，包括一系列應對 Java SE 和不同 Oracle 產品中多個漏洞的安全修補程式。

在多個受影響的 Java 子部件中，包括2D、Hotspot、Serialization、JMX、Deployment、Security、JAXP 和JCE，發現了 9 個漏洞。這些漏洞可被未獲授權的攻擊者從遠端攻擊，其中 3 個漏洞更可影響 Java 的服務端部件(例如通過網絡服務)。

對於在 Oracle 產品中發現的漏洞，攻擊者可通過多種規約，包括 ECI (Proprietary EDM Protocol)、HTTP、HTTPS、IPMI、JMS、Kerberos、MySQL、OpenSSH、Oracle Net 及 RPC經網絡從遠端攻擊。

攻擊者可通過多種方式攻擊受影響的系統。對於 Java，攻擊者可誘使用戶開啓載有不可靠 Java applet 或含惡意內容的 Java Web Start 應用程式的特製網頁，或以 Java launcher 起動執行檔。對於其他 Oracle 產品，遠端攻擊者可傳送特製的網絡封包到受影響系統攻擊這些漏洞

 

受影響的系統:

  • Berkeley DB
  • Database Server
  • E-Business Suite
  • Enterprise Manager Grid Control
  • Fusion Middleware
  • JD Edwards Products
  • Oracle Communications Applications
  • Oracle Financial Services Software
  • Oracle Health Sciences Applications
  • Oracle Java SE
  • Oracle MySQL
  • Oracle Retail Applications
  • Oracle Sun Systems Products Suite
  • Oracle Supply Chain Products Suite
  • Oracle Virtualization
  • PeopleSoft Products
  • Siebel CRM 

關於受影響產品的詳細資料，請參閱供應商網站相關安全公告中 “Affected Products and Components” 的部分：

http://www.oracle.com/technetwork/security-advisory/cpuapr2016v3-2985753.html

 

影響:

成功攻擊這些漏洞可導致執行程式碼、服務受阻斷、提升權限、取得敏感資料、繞過保安限制或控制受影響系統，視乎攻擊者利用哪個漏洞而定。 

 

建議:

現已有適用於受影響系統的修補程式。受影響系統的用戶應遵從產品供應商的建議，立即採取行動以降低風險。

Oracle Java SE 產品的修補程式可從以下連結下載：

  • Java Platform SE 8 (JDK 及 JRE 8 91/92)
    http://www.oracle.com/technetwork/java/javase/downloads/index.html

關於其他 Oracle 產品，請參閱供應商網站相關安全公告中 “Patch Availability Table and Risk Matrices＂的部分:

http://www.oracle.com/technetwork/security-advisory/cpuapr2016v3-2985753.html

用戶可聯絡其產品支援供應商，以取得修補程式及有關支援

 

進一步資訊:

http://www.oracle.com/technetwork/security-advisory/cpuapr2016v3-2985753.html
http://www.oracle.com/technetwork/java/javase/8u91-relnotes-2949462.html
http://www.oracle.com/technetwork/java/javase/8u92-relnotes-2949471.html
https://www.hkcert.org/my_url/en/alert/16042001
https://www.us-cert.gov/ncas/current-activity/2016/04/19/Oracle-Releases-Security-Bulletin
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4461
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-2566
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4786
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-2532
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3566
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3576
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1789
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1793
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3194 (to CVE-2015-3195)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3197
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3238
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3253
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4000
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7182
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7236
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7501
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7547
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0407 (to CVE-2016-0408)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0468 (to CVE-2016-0469)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0479
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0623
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0638 (to CVE-2016-0644)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0646 (to CVE-2016-0659)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0661 (to CVE-2016-0663)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0665 (to CVE-2016-0669)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0671 (to CVE-2016-0700)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0705
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2047
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3416 (to CVE-2016-3423)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3425 (to CVE-2016-3429)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3431
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3434 (to CVE-2016-3439)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3441 (to CVE-2016-3443)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3447
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3449
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3454 (to CVE-2016-3457)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3460 (to CVE-2016-3466) 



標籤 : Oracle , Java , Oracle Database , Fusion , Enterprise Manager Grid Control , Oracle E-Business Suite , Enterprise Manager , Oracle Supply Chain Products , PeopleSoft , JD Edwards , Siebel , Oracle Communications , Oracle Retail , Oracle Health Sciences , Oracle Financial Services , Sun Systems , Oracle Virtualization , MySQL , Berkeley
標籤