Bulletin d'alerte Debian

DSA-2507-1 openjdk-6 -- Plusieurs vulnérabilités

Date du rapport :
4 juillet 2012
Paquets concernés :
openjdk-6
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2012-1711, CVE-2012-1713, CVE-2012-1716, CVE-2012-1717, CVE-2012-1718, CVE-2012-1719, CVE-2012-1723, CVE-2012-1724, CVE-2012-1725.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans OpenJDK, une implémentation de la plate-forme Java d'Oracle.

  • CVE-2012-1711 CVE-2012-1719

    Plusieurs erreurs dans l'implémentation de CORBA pourraient conduire à des fuites du bac à sable (sandbox) Java.

  • CVE-2012-1713

    Une vérification manquante des entrées dans le gestionnaire de police pourrait conduire à l'exécution de code arbitraire.

  • CVE-2012-1716

    La classe Swing SynthLookAndFeel pourrait être trompée pour sortir du bac à sable (sandbox) Java.

  • CVE-2012-1717

    Plusieurs fichiers temporaires étaient créés de façon non sécurisée, provoquant une divulgation locale d'informations.

  • CVE-2012-1718

    Les listes de révocation de certificats étaient incorrectement implémentées.

  • CVE-2012-1723 CVE-2012-1725

    Des erreurs de validation dans le vérificateur de bytecode de la VM Hotspot pourraient conduire à des fuites du bac à sable (sandbox) Java.

  • CVE-2012-1724

    Une vérification manquante des entrées dans l'analyseur XML pourrait conduire à un déni de service grâce à une boucle infinie.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 6b18-1.8.13-0+squeeze2.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 6b24-1.11.3-1.

Nous vous recommandons de mettre à jour vos paquets openjdk-6.