更新后的 java-1.7.0-openjdk 程序包修复了安全漏洞：

在 2D 组件的 medialib 库中发现输入验证缺陷。在处理特别构建的图像时，可触发 Java 虚拟机内存损坏。远程攻击者或者不受信任的 Java 应用程序或小程序可能会利用此缺陷以运行 Java 虚拟机的用户的权限执行任意代码 (CVE-2014-0429)。

在 OpenJDK 中的 Hotspot 和 2D 组件中发现多种缺陷。不受信任的 Java 应用程序或小程序可利用这些缺陷触发 Java 虚拟机内存损坏并可能绕过 Java 沙盒限制（CVE-2014-0456、CVE-2014-2397、CVE-2014-2421）。

在 OpenJDK 的 Libraries 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过 Java 沙盒限制（CVE-2014-0457、CVE-2014-0455、CVE-2014-0461）。

在 OpenJDK 的 AWT、JAX- WS、JAXB、Libraries、Security、Sound 和 2D 组件中发现多个权限检查不当问题。不受信任的 Java 应用程序或小程序可利用这些缺陷绕过某些 Java 沙盒限制（CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-2402、CVE-2014-0446、CVE-2014-2413、CVE-2014-0454、CVE-2014-2427、CVE-2014-0459）。

在 Java 命名和目录接口 (JNDI) DNS 客户端发现多种缺陷。这些缺陷可使远程攻击者更容易执行 DNS 欺骗攻击 (CVE-2014-0460)。

已发现当存在 SecurityManager 时，JAXP 组件没有正确阻止对任意文件的访问。此缺陷可导致使用 JAXP 的 Java 应用程序泄漏敏感信息，或影响应用程序可用性 (CVE-2014-2403)。

已发现当执行 PKCS#1 unpadding 时，OpenJDK 的 Security 组件可泄漏一些计时信息。这可能导致本应受到加密保护的一些信息发生泄露 (CVE-2014-0453)。

已发现针对 CVE-2013-5797 的补丁没有正确解决 javadoc 中的输入审查缺陷。当 javadoc 文档由不受信任的 Java 源代码生成并托管于不受代码作者控制的域时，这些问题可能更容易导致跨站脚本 (XSS) 攻击 (CVE-2014-2398)。

在 unpack200 实用工具创建日志文件的方式中，发现不安全的临时文件使用缺陷。本地攻击者可能利用此缺陷执行符号链接攻击，并以运行 unpack200 的用户的权限覆盖任意文件 (CVE-2014-1876)。

请注意，CVE-2014-0459 问题存在于 lcms2 库中，该库已得到修补以修正此缺陷。

检测

Mandriva Linux 安全公告：java-1.7.0-openjdk (MDVSA-2014:100)

critical Nessus 插件 ID 74078

未找到变更日志