18.10.2022

BDU:2023-05192 (CVE-2022-21619) — уязвимость компонента Security программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition

По данным БДУ ФСТЭК России, по состоянию на 09.06.2025.

Низкий — 3.7/10 Устранена

Уязвимость компонента Security программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition связана с ошибкой приведения целочисленного значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ на изменение, добавление или удаление данных

Кого касается и что делать

Уязвимое ПО: Альт 8 СП (АО «ИВК»); РОСА Кобальт (АО «НТЦ ИТ РОСА») — версии 7.9; Java SE (Oracle) — версии 17.0.4.1, 19, 11.0.16.1, 8u345-perf, 8u341; и ещё 3 позиции
Что делать: уязвимость устранена производителем — применить исправления: www.oracle.com, openjdk.org, abf.rosalinux.ru

Сведения об уязвимости

Идентификаторы	BDU:2023-05192 · CVE-2022-21619
Уровень опасности	Низкий (базовая оценка CVSS 3.1 — 3.7; CVSS 2.0 — 2.6)
Вектор CVSS 3.1	AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N атака по сети, высокая сложность, без прав, без участия пользователя, ограниченное влияние на целостность
Наименование ФСТЭК	Уязвимость компонента Security программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition, позволяющая нарушителю получить доступ на изменение, добавление или удаление данных
Даты	Опубликована: 05.09.2023 · Обновлена ФСТЭК: 09.06.2025 · Выявлена: 18.10.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных; CWE-192 — ошибки приведения к целочисленному виду
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных, манипулирование ресурсами

Уязвимое ПО

Альт 8 СП (АО «ИВК») — операционная система
РОСА Кобальт (АО «НТЦ ИТ РОСА») — 7.9 · операционная система
Java SE (Oracle) — версии 17.0.4.1, 19, 11.0.16.1, 8u345-perf, 8u341 · прикладное ПО информационных систем
GraalVM Enterprise Edition (Oracle) — версии 21.3.3, 22.2.0, 20.3.7 · прикладное ПО информационных систем
OpenJDK (Oracle) — версии 19, 17.0.4, 15.0.8, 13.0.12, 11.0.16, 8u342, до 7u351 включительно · прикладное ПО информационных систем
Axiom AxiomJDK (Axiom JDK) — версии до 11.0.16.1, до 11.0.16.1.1, до 17.0.4.1.1, до 17.0.5, до 8u351 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpuoct2022.html
Для OpenJDK: openjdk.org/groups/vulnerability/advisories/2022-10-18
Для РОСА Кобальт: abf.rosalinux.ru/advisories/ROSA-SA-2023-2151
Для Axiom AxiomJDK: axiomjdk.ru/blog/
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: altsp.su/obnovleniya-bezopasnosti/

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: