BDU:2022-02686

Опубликовано: 19 апр. 2022

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость компонента Libraries программных платформ Java SE, виртуальной машины Oracle GraalVM Enterprise Edition связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

Canonical Ltd.

АО «ИВК»

Oracle Corp.

IBM Corp.

АО "НППКТ"

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Axiom JDK

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

Ubuntu

Альт 8 СП

Java SE

GraalVM Enterprise Edition

IBM Cloud Object Storage Systems

ОСОН ОСнова Оnyx

РОСА Кобальт

ОС ОН «Стрелец»

Red Hat build of OpenJDK

Axiom AxiomJDK

Версия ПО

7 (Red Hat Enterprise Linux)

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

20.04 LTS (Ubuntu)

8.2 Extended Update Support (Red Hat Enterprise Linux)

16.04 ESM (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

21.10 (Ubuntu)

8.1 Update Services for SAP Solutions (Red Hat Enterprise Linux)

8.4 Extended Update Support (Red Hat Enterprise Linux)

- (Альт 8 СП)

7u331 (Java SE)

8u321 (Java SE)

11.0.14 (Java SE)

17.0.2 (Java SE)

18 (Java SE)

20.3.5 (GraalVM Enterprise Edition)

21.3.1 (GraalVM Enterprise Edition)

22.0.0.2 (GraalVM Enterprise Edition)

22.04 LTS (Ubuntu)

9 (Red Hat Enterprise Linux)

от 3.16.0.121 до 3.16.7.55 включительно (IBM Cloud Object Storage Systems)

до 2.5 (ОСОН ОСнова Оnyx)

7.9 (РОСА Кобальт)

18.04 ESM (Ubuntu)

до 20.10.2023 (ОС ОН «Стрелец»)

11.0.15 (Red Hat build of OpenJDK)

17.0.3 (Red Hat build of OpenJDK)

8u332 (Red Hat build of OpenJDK)

до 8u331 (Axiom AxiomJDK)

до 11.0.14.1.1 (Axiom AxiomJDK)

до 17.0.2.1 (Axiom AxiomJDK)

до 7u341 (Axiom AxiomJDK)

до 8u332 (Axiom AxiomJDK)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Canonical Ltd. Ubuntu 20.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 8.2 Extended Update Support

Canonical Ltd. Ubuntu 16.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Canonical Ltd. Ubuntu 21.10

Red Hat Inc. Red Hat Enterprise Linux 8.1 Update Services for SAP Solutions

Red Hat Inc. Red Hat Enterprise Linux 8.4 Extended Update Support

АО «ИВК» Альт 8 СП -

Canonical Ltd. Ubuntu 22.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 9

АО "НППКТ" ОСОН ОСнова Оnyx до 2.5

АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9

Canonical Ltd. Ubuntu 18.04 ESM

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 20.10.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для продуктов Oracle:

https://www.oracle.com/security-alerts/cpuapr2022.html

Для Альт 8 СП:

https://altsp.su/obnovleniya-bezopasnosti/

Для программных продуктов IBM Corp.:

https://www.ibm.com/blogs/psirt/security-bulletin-vulnerabilities-with-openjdk-gnutls-affect-ibm-cloud-object-storage-systems-august-2022v1/

Для ОСОН Основа:

Обновление программного обеспечения openjdk-11 до версии 11.0.15+10.repack-1~deb10u1.osnova18

Для ОС РОСА "КОБАЛЬТ":

https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2138

Для ОС ОН «Стрелец»:

Обновление программного обеспечения openjdk-8 до версии 8u332-ga-repack1+deb9u1.osnova12

Для Axiom JDK:

https://axiomjdk.ru/announcements/2022/04/21/axiom-18-0-1-17-0-3-11-0-15-and-8u332-builds-are-generally-available/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2022-21476

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2022-21476

Для Ubuntu:

https://ubuntu.com/security/notices/USN-5388-1

https://ubuntu.com/security/notices/USN-5388-2

https://ubuntu.com/security/notices/USN-5546-1

https://ubuntu.com/security/notices/USN-5546-2

Для Axiom AxiomJDK:

https://axiomjdk.ru/blog/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-21476
CVE

EPSS

Процентиль: 35%

0.00136

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20240529-05

CVSS3: 9.8

redos

около 1 года назад

Множественные уязвимости java-17-openjdk

ROS-20240529-04

CVSS3: 9.8

redos

около 1 года назад

Множественные уязвимости java-11-openjdk

ROS-20240529-01

CVSS3: 9.8

redos

около 1 года назад

Множественные уязвимости java-1.8.0-openjdk

CVE-2022-21476

CVSS3: 7.5

ubuntu

около 3 лет назад

Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: Libraries). Supported versions that are affected are Oracle Java SE: 7u331, 8u321, 11.0.14, 17.0.2, 18; Oracle GraalVM Enterprise Edition: 20.3.5, 21.3.1 and 22.0.0.2. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Java SE, Oracle GraalVM Enterprise Edition accessible data. Note: This vulnerability applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. This vulnerability can also be exploited by using APIs in the specified Component, e.g., through...

CVE-2022-21476

CVSS3: 7.5

redhat

около 3 лет назад

EPSS

Процентиль: 35%

0.00136

Низкий

7.5 High

CVSS3

7.8 High

CVSS2