Oracle 提前发布 2 月份 Java 安全更新，解决 50 项缺陷

Oracle发布 Java 主要安全更新。该更新原定 2 月 19 日发布，但因为影响桌面浏览器中 Java 运行时环境（JRE）的缺陷中有一个可能会被积极利用，所以提前两周于上周五发布。

据最新的 Oracle Risk Matrix 介绍，该更新覆盖了 50 项缺陷：其中 49 项可能被远程利用，换句话说，比如只是访问网页就可能被感染；26 项在通用漏洞评分系统（CVSS）中的风险分为 10，这是该系统中的最大分值。Oracle 并没有说明会被积极利用的远程代码执行漏洞是哪一个，但是该补丁已解决这个问题。

Sophos 安全博客提供了一些信息，并且指出“相对于基于Windows 的.EXE 文件或OS X 原生二进制文件的应用程序，没有什么特殊原因说明Java 会带来更大的风险”。然而，因为Java 是一种跨浏览器和跨平台的技术，并且装机量巨大，因此对恶意软件和病毒作者来说，攻击Java 是“收益很高的锻炼”。所以Sophos 建议用户将本地安装的Java 更新到最新版本。此外，由于大部分攻击都是通过Web 进入的，因此建议浏览器用户关闭浏览器中的Java 支持，除非可以确信需要Java 支持的网站是安全的。

Oracle 最新的官方版本是 Java 7 Update 13 和 Java 6 Update 39 。正如我们之前所报道的那样，本月（2013 年2 月）标志着Java 6 已经走到了终点。如果用户使用的是OS X 10.6（雪豹），Apple 上的最新更新是Java for Mac OS X 10.6 Update 12。

按今年计划，Oracle 目前至少有两个Java SE 关键补丁更新，下一次在6 月18 日。

查看英文原文： Oracle Releases February Java Security Update Ahead of Schedule Dealing with 50 Flaws