18.10.2022

BDU:2023-05188 (CVE-2022-21618) — уязвимость компонента JGSS программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition

По данным БДУ ФСТЭК России, по состоянию на 07.02.2024.

Средний — 5.3/10 Устранена

Уязвимость компонента JGSS программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ на изменение, добавление или удаление данных

Кого касается и что делать

Уязвимое ПО: РОСА Кобальт (АО «НТЦ ИТ РОСА») — версии 7.9; Java SE (Oracle) — версии 17.0.4.1, 19; GraalVM Enterprise Edition (Oracle) — версии 21.3.3, 22.2.0; и ещё 2 позиции
Что делать: уязвимость устранена производителем — применить исправления: www.oracle.com, openjdk.org, abf.rosalinux.ru

Сведения об уязвимости

Идентификаторы	BDU:2023-05188 · CVE-2022-21618
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 5.3; CVSS 2.0 — 5.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N атака по сети, низкая сложность, без прав, без участия пользователя, ограниченное влияние на целостность
Наименование ФСТЭК	Уязвимость компонента JGSS программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition, позволяющая нарушителю получить доступ на изменение, добавление или удаление данных
Даты	Опубликована: 05.09.2023 · Обновлена ФСТЭК: 07.02.2024 · Выявлена: 18.10.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных; CWE-120 — копирование буфера без проверки размера входных данных (классическое переполнение буфера)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных, манипулирование ресурсами

Уязвимое ПО

РОСА Кобальт (АО «НТЦ ИТ РОСА») — 7.9 · операционная система
Java SE (Oracle) — версии 17.0.4.1, 19 · прикладное ПО информационных систем
GraalVM Enterprise Edition (Oracle) — версии 21.3.3, 22.2.0 · прикладное ПО информационных систем
OpenJDK (Oracle) — версии 19, 17.0.4, 15.0.8, 13.0.12, 11.0.16, 8u342, до 7u351 включительно · прикладное ПО информационных систем
Axiom AxiomJDK (Axiom JDK) — версии до 11.0.16.1, до 11.0.16.1.1, до 17.0.4.1.1, до 17.0.5 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpuoct2022.html
Для OpenJDK: openjdk.org/groups/vulnerability/advisories/2022-10-18
Для РОСА Кобальт: abf.rosalinux.ru/advisories/ROSA-SA-2023-2151

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: