BDU:2022-02516

Опубликовано: 19 апр. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Средний

Описание

Уязвимость реализации алгоритма цифровой подписи ECDSA программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition связана с некорректной проверкой криптографической подписи. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность информации

Вендор

Red Hat Inc.

Oracle Corp.

IBM Corp.

Axiom JDK

Наименование ПО

Red Hat Enterprise Linux

Red Hat build of OpenJDK

Java SE

GraalVM Enterprise Edition

IBM Cloud Object Storage Systems

Axiom AxiomJDK

Версия ПО

8 (Red Hat Enterprise Linux)

17 (Red Hat build of OpenJDK)

17.0.2 (Java SE)

18 (Java SE)

21.3.1 (GraalVM Enterprise Edition)

22.0.0.2 (GraalVM Enterprise Edition)

от 3.16.0.121 до 3.16.7.55 включительно (IBM Cloud Object Storage Systems)

до 17.0.2.0.1 (Axiom AxiomJDK)

до 17.0.3 (Axiom AxiomJDK)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое средство

Операционные системы и аппаратные платформы

Microsoft Corp. Windows .

Red Hat Inc. Red Hat Enterprise Linux 8

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование алгоритмов подписи EdDSA или Ed25519 (в случае необходимости поддержки устаревших алгоритмов – использование других вариантов реализации алгоритмов RSA или DSA);

- использование для Java (JVM) BouncyCastle в качестве провайдера криптографических функций (путем обновления файла java.security)

Информация от производителей:

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpuapr2022.html

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-21449

Для программных продуктов IBM Corp.:

https://www.ibm.com/blogs/psirt/security-bulletin-vulnerabilities-with-openjdk-gnutls-affect-ibm-cloud-object-storage-systems-august-2022v1/

Для Axiom AxiomJDK:

https://axiomjdk.ru/blog/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-21449
CVE

EPSS

Процентиль: 96%

0.24908

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20240529-05

CVSS3: 9.8

redos

около 1 года назад

Множественные уязвимости java-17-openjdk

ROS-20240529-04

CVSS3: 9.8

redos

около 1 года назад

Множественные уязвимости java-11-openjdk

ROS-20240529-01

CVSS3: 9.8

redos

около 1 года назад

Множественные уязвимости java-1.8.0-openjdk

CVE-2022-21449

CVSS3: 7.5

ubuntu

около 3 лет назад

Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: Libraries). Supported versions that are affected are Oracle Java SE: 17.0.2 and 18; Oracle GraalVM Enterprise Edition: 21.3.1 and 22.0.0.2. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Java SE, Oracle GraalVM Enterprise Edition accessible data. Note: This vulnerability applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. This vulnerability can also be exploited by using APIs in the specified Component, e.g., through a web servi...

CVE-2022-21449

CVSS3: 7.5

redhat

около 3 лет назад

EPSS

Процентиль: 96%

0.24908

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2