18.10.2022

BDU:2023-05215 (CVE-2022-39399) — уязвимость компонента Networking программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition

По данным БДУ ФСТЭК России, по состоянию на 07.02.2024.

Низкий — 3.7/10 Устранена

Уязвимость компонента Networking программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ на изменение, добавление или удаление данных

Кого касается и что делать

Уязвимое ПО: РОСА Кобальт (АО «НТЦ ИТ РОСА») — версии 7.9; Java SE (Oracle) — версии 17.0.4.1, 19, 11.0.16.1; GraalVM Enterprise Edition (Oracle) — версии 21.3.3, 22.2.0, 20.3.7; и ещё 2 позиции
Что делать: уязвимость устранена производителем — применить исправления: www.oracle.com, openjdk.org, abf.rosalinux.ru

Сведения об уязвимости

Идентификаторы	BDU:2023-05215 · CVE-2022-39399
Уровень опасности	Низкий (базовая оценка CVSS 3.1 — 3.7; CVSS 2.0 — 2.6)
Вектор CVSS 3.1	AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N атака по сети, высокая сложность, без прав, без участия пользователя, ограниченное влияние на целостность
Наименование ФСТЭК	Уязвимость компонента Networking программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition, позволяющая нарушителю получить доступ на изменение, добавление или удаление данных
Даты	Опубликована: 06.09.2023 · Обновлена ФСТЭК: 07.02.2024 · Выявлена: 18.10.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-290 — обход аутентификации посредством спуфинга
Класс уязвимости	Уязвимость кода · Способ эксплуатации: нарушение аутентификации, подмена при взаимодействии

Уязвимое ПО

РОСА Кобальт (АО «НТЦ ИТ РОСА») — 7.9 · операционная система
Java SE (Oracle) — версии 17.0.4.1, 19, 11.0.16.1 · прикладное ПО информационных систем
GraalVM Enterprise Edition (Oracle) — версии 21.3.3, 22.2.0, 20.3.7 · прикладное ПО информационных систем
OpenJDK (Oracle) — версии 19, 17.0.4, 15.0.8, 13.0.12, 11.0.16, 8u342, до 7u351 включительно · прикладное ПО информационных систем
Axiom AxiomJDK (Axiom JDK) — версии до 11.0.16.1, до 11.0.16.1.1, до 17.0.4.1.1, до 17.0.5 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpuoct2022.html
Для OpenJDK: openjdk.org/groups/vulnerability/advisories/2022-10-18
Для РОСА Кобальт: abf.rosalinux.ru/advisories/ROSA-SA-2023-2151
Для Axiom AxiomJDK: axiomjdk.ru/blog/

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: