Eclipse Temurin 11.0.17 发行注记

红帽在其产品中支持所选的 Eclipse Temurin 主版本。为实现一致性，这些版本与 Oracle JDK 的长期支持(LTS)指定的版本相同。

从该版本首次引入后，Eclip Temurin 的主版本将最少提供六年的支持。如需更多信息，请参阅 Eclipse Temurin 生命周期和支持政策。

Eclipse Temurin 不包含来自 OpenJDK 上游发行版的结构更改。

有关 Eclipse Temurin 的最新 OpenJDK 11.0.17 发行版本中包含的更改和安全修复的列表，请参阅 OpenJDK 11.0.17 发行版本。

新功能及功能增强

查看以下发行注记以了解 Eclipse Temurin 11.0.17 发行版本中包含的新功能和功能增强：

禁用 cpu.shares 参数

在 OpenJDK 11.0.17 发行版本之前，OpenJDK 使用了 cpu.shares 参数的错误解析，它属于 Linux 控制组，也称为 cgroups。参数可能会导致 Java 虚拟机(JVM)使用比可用的 CPU 少，这可能会在容器内运行时影响 JVM 的 CPU 资源和性能。

OpenJDK 11.0.17 发行版本将 JVM 配置为在决定线程池的线程数量时不再使用 cpu.shares 参数。如果要恢复此配置，请在 JVM 启动时传递 -XX:+UseContainerCpuShares 参数。

请参阅 JDK-8281181 (JDK Bug System)。

jdk.httpserver.maxConnections system property

OpenJDK 11.0.17 添加了一个新的系统属性 jdk.httpserver.maxConnections，它修复了一个安全问题，没有为 HttpServer 服务指定连接，这可能会导致接受的连接和建立的连接无限期保持打开。

您可以使用 jdk.httpserver.maxConnections 系统属性更改 HttpServer 服务，其行为如下：

请参阅 JDK-8286918 (JDK Bug System)。

使用 JFR 监控对象的反序列化

现在，您可以使用 JDK Flight Recorder (JFR)监控对象的反序列化。默认情况下，OpenJDK 11.0.17 为 JFR 禁用 jdk.deserialization 事件设置。您可以通过更新 JFR 配置中的 event-name 元素来启用此功能。例如：

<?xml version="1.0" encoding="UTF-8"?>
<configuration version="2.0" description="test">
 <event name="jdk.Deserialization">
 <setting name="enabled">true</setting>
 <setting name="stackTrace">false</setting>
 </event>
</configuration>

<?xml version="1.0" encoding="UTF-8"?>
<configuration version="2.0" description="test">
 <event name="jdk.Deserialization">
 <setting name="enabled">true</setting>
 <setting name="stackTrace">false</setting>
 </event>
</configuration>

启用 JFR 并配置 JFR 以监控反序列化事件后，JFR 会在受监控的应用程序尝试反序列化对象时创建一个事件。然后，JFR 的序列化过滤器机制可以确定是否接受或拒绝被监控应用程序中的反序列化对象。

请参阅 JDK-8261160 (JDK Bug System)。

SHA-1 Signed JARs

在 OpenJDK 11.0.17 发行版本中，默认使用 SHA-1 算法签名的 JAR，并像未签名一样对待。这些限制适用于以下算法：

另外，限制适用于签名的 Java Cryptography 扩展(JCE)供应商。

要降低之前时间戳的 JAR 的兼容性风险，限制不适用于 2019 年 1 月 01 日前使用 SHA-1 算法签名的任何 JAR 和时间戳。在以后的 OpenJDK 发行版本中可能会删除此例外。

要确定您的 JAR 文件是否受到限制的影响，您可以在 CLI 中发出以下命令：

jarsigner -verify -verbose -certs

$ jarsigner -verify -verbose -certs

在上一命令的输出中，搜索 SHA1 实例、SHA-1 或 禁用。此外，搜索指示 JAR 将被视为未签名的警告消息。例如：

Signed by "CN="Signer""
Digest algorithm: SHA-1 (disabled)
Signature algorithm: SHA1withRSA (disabled), 2048-bit key

WARNING: The jar will be treated as unsigned, because it is signed with a weak algorithm that is now disabled by the security property:

jdk.jar.disabledAlgorithms=MD2, MD5, RSA keySize < 1024, DSA keySize < 1024, SHA1 denyAfter 2019-01-01

Signed by "CN="Signer""
Digest algorithm: SHA-1 (disabled)
Signature algorithm: SHA1withRSA (disabled), 2048-bit key

WARNING: The jar will be treated as unsigned, because it is signed with a weak algorithm that is now disabled by the security property:

jdk.jar.disabledAlgorithms=MD2, MD5, RSA keySize < 1024, DSA keySize < 1024, SHA1 denyAfter 2019-01-01

考虑使用更强大的算法替换或重新签名受新限制影响的任何 JAR。

如果您的 JAR 文件受这个限制的影响，您可以删除算法并使用更强大的算法（如 SHA-256 ）重新签署该文件。如果要删除 OpenJDK 11.0.17 的 SHA-1 签名 JAR 限制，并且接受安全风险，您可以完成以下操作：

请参阅 JDK-8269039 (JDK Bug System)。

控制 HTTPURLConnection的 keep-alive 行为的系统属性

OpenJDK 11.0.17 发行版本包括以下新系统属性，可用于控制 HTTPURLConnection 的 keep-alive 行为：

在 OpenJDK 11.0.17 发行版本之前，带有未指定 keep-alive 时间的服务器或代理可能会导致闲置连接在硬编码的默认值定义的期间保持打开。

使用 OpenJDK 11.0.17，您可以使用系统属性更改 keep-alive 时间的默认值。keep-alive 属性通过更改服务器或代理的 HTTP keep-alive 时间来控制此行为，以便 OpenJDK 的 HTTP 协议处理程序在指定秒数后关闭闲置连接。

在 OpenJDK 11.0.17 发布前，以下用例会导致 HTTPURLConnection 的特定 keep-alive 行为：

OpenJDK 11.0.17 发行版本维护前面描述的行为，但您现在可以使用 http.keepAlive.time. server 和 http.keepAlive.time.proxy 属性在第二个和第三个列出的用例中指定超时，而不必依赖默认设置。

请参阅 JDK-8278067 (JDK Bug System)。

更新了默认的 PKCS libpmem MAC 算法

OpenJDK 11.0.17 更新 PKCSMemcached 密钥存储的默认消息身份验证代码(MAC)算法，以使用 SHA-256 加密哈希功能而不是 SHA-1 功能。SHA-256 功能为保护数据提供了更强大的方法。

您可以在 keystore.pkcs12.macAlgorithm 和 keystore.pkcs12.maclterationCount 系统属性中查看此更新。

如果您使用这个更新的 MAC 算法创建密钥存储，且您试图将密钥存储与 OpenJDK 11.0.12 之前的 OpenJDK 版本一起使用，您会收到 java.security.NoSuchAlgorithmException 信息。

要将之前的密钥存储与 OpenJDK 11.0.12 之前的 OpenJDK 版本搭配使用，请将 keystore.pkcs12.legacy 系统属性设置为 true 以恢复 MAC 算法。

请参阅 JDK-8267880 (JDK Bug System)。

弃用和删除的功能

查看以下发行注记以了解 OpenJDK 11.0.17 发行版本中已弃用或删除的预先存在的功能：

弃用的 Kerberos 加密类型

OpenJDK 11.0.17 弃用了 3-hmac-sha1 和 rc4-hmac Kerberos 加密类型。默认情况下，OpenJDK 11.0.17 禁用这些加密类型，但您可以通过完成以下操作来启用它们：

您可以通过在以下 krb5.conf 配置文件中明确列出加密类型来禁用弱加密类型的子集：

请参阅 JDK-8139348 (JDK Bug System)。

更新于 2024-05-10