Podatności Oracle Java SE

Podatność w produkcie Oracle Java SE (komponent: JavaFX). Dotyczy wersji 8u491. Nieuwierzytelniony atakujący z dostępem sieciowym przez wiele protokołów może spowodować częściowe odmówienie usługi (partial DOS).

W produktach Oracle Java SE, Oracle GraalVM for JDK oraz Oracle GraalVM Enterprise Edition wykryto podatność w komponencie ImageIO. Trudna do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym na nieautoryzowaną aktualizację, wstawianie lub usuwanie niektórych danych.

Podatność w Oracle Java SE (komponent: JSSE) w wielu wersjach, w tym 8u491, 11.0.31, 17.0.19, 21.0.11, 25.0.3, 26.0.1 oraz GraalVM. Trudna do wykorzystania, nieuwierzytelniony atakujący przez TLS może uzyskać nieautoryzowany dostęp do krytycznych danych (tworzenie, usuwanie, modyfikacja).

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: JSSE) pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez TLS na spowodowanie częściowej odmowy usługi (partial DOS). Atak jest łatwy do przeprowadzenia.

Podatność w komponencie Networking produktów Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition. Niezautoryzowany atakujący zdalnie może spowodować zawieszenie lub częste awarie (DOS) systemu.

Podatność w produkcie Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: Security). Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z logowaniem do infrastruktury na uzyskanie nieautoryzowanego dostępu do odczytu podzbioru danych.

W Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition wykryto podatność w komponencie Libraries. Trudny do wykorzystania atak przez sieć może pozwolić nieuwierzytelnionemu atakującemu na spowodowanie częściowej odmowy usługi (partial DoS). Podatność dotyczy określonych wersji i może być wykorzystana przez API komponentu, np. przez usługę sieciową dostarczającą dane do API.

Podatność w komponencie JAXP produktów Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition. Niezautoryzowany atakujący z dostępem sieciowym może łatwo wykorzystać tę lukę, uzyskując nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych w tych produktach.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent JGSS) w wymienionych wersjach. Trudna do wykorzystania luka wymaga interakcji użytkownika i pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym na nieautoryzowany dostęp do krytycznych danych; dotyczy głównie klientów uruchamiających niezaufany kod w sandboxie.

Podatność w bibliotekach Oracle Java SE (wersja 25.0.1) umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym modyfikację, wstawianie lub usuwanie części danych dostępnych dla Java SE. Podatność jest trudna do wykorzystania i dotyczy głównie środowisk klienckich uruchamiających niezaufany kod w sandboxie (np. aplety, Web Start), a nie serwerów z zaufanym kodem.

Podatność w produkcie Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: Security). Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z logowaniem do infrastruktury na uzyskanie nieautoryzowanego dostępu do odczytu podzbioru danych.

Podatność w produkcie Oracle Java SE, Oracle GraalVM Enterprise Edition (komponent: Hotspot). Dotyczy wersji Oracle Java SE: 8u481 i 8u481-b50; Oracle GraalVM Enterprise Edition: 21.3.17. Trudna do wykorzystania podatność pozwala niskouprzywilejowanemu atakującemu z logowaniem do infrastruktury, na której działa Java SE lub GraalVM, na kompromitację produktu. Wymaga interakcji użytkownika. Może prowadzić do nieautoryzowanego tworzenia, usuwania lub modyfikacji krytycznych danych oraz zawieszenia lub częstych awarii (całkowita odmowa usługi). Podatność dotyczy wdrożeń Java uruchamiających niezaufany kod w piaskownicy (np. aplety, Web Start) i nie dotyczy serwerów uruchamiających zaufany kod.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: Security) pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym na spowodowanie całkowitej odmowy usługi (DOS) poprzez wywołanie zawieszenia lub powtarzalnego crashu. Dotyczy to wersji Java SE 8u471, 11.0.29, 17.0.17, 21.0.9, 25.0.1 oraz odpowiednich wersji GraalVM.

Podatność w komponencie AWT i JavaFX produktów Oracle Java SE, Oracle GraalVM for JDK oraz Oracle GraalVM Enterprise Edition. Nieuwierzytelniony atakujący z dostępem sieciowym może wykorzystać lukę poprzez wiele protokołów, wymagając interakcji użytkownika. Udany atak może prowadzić do nieautoryzowanego tworzenia, usuwania lub modyfikacji krytycznych danych.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: Libraries). Dotyczy wersji Oracle Java SE: 21.0.8 i 25; Oracle GraalVM for JDK: 21.0.8; Oracle GraalVM Enterprise Edition: 21.3.15. Trudna do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym poprzez wiele protokołów na naruszenie tych produktów. Skuteczny atak może skutkować nieautoryzowaną aktualizacją, wstawieniem lub usunięciem dostępu do niektórych danych. CVSS 3.1 Base Score 3.7 (wpływ na integralność).

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition w komponencie JAXP. Łatwo wykorzystywalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym poprzez wiele protokołów na naruszenie tych produktów. Udane ataki mogą skutkować nieautoryzowanym dostępem do krytycznych danych lub pełnym dostępem do wszystkich danych dostępnych dla tych produktów. Podatność dotyczy również wdrożeń Java, zazwyczaj klientów uruchamiających aplikacje Java Web Start lub aplety Java w piaskownicy, które ładują i uruchamiają niezaufany kod i polegają na piaskownicy Java w zakresie bezpieczeństwa.

Nieokreślona podatność w komponentach Java SE, Java SE Embedded i JRockit w Oracle Java SE 8u66; Java SE Embedded 8u65; oraz JRockit R28.3.8 pozwala zdalnym atakującym wpłynąć na poufność i integralność poprzez nieznane wektory związane z Libraries.

Nieokreślona podatność w komponentach Java SE i Java SE Embedded w Oracle Java SE 6u105, 7u91 i 8u66 oraz Java SE Embedded 8u65 pozwala uwierzytelnionym zdalnym użytkownikom wpłynąć na poufność poprzez wektory związane z JMX.

Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60; Java SE Embedded 8u51; oraz JRockit R28.3.7 pozwala zdalnym atakującym wpłynąć na integralność danych poprzez nieznane wektory związane z bezpieczeństwem.

W Oracle Java SE w wersjach 6u95, 7u80 i 8u45 występuje nieokreślona podatność związana z komponentem Deployment. Umożliwia ona lokalnym użytkownikom wpłynięcie na poufność, integralność i dostępność za pomocą nieznanych wektorów ataku.

Nieokreślona podatność w Oracle Java SE 6u95, 7u80 i 8u45, JavaFX 2.2.80 oraz Java SE Embedded 7u75 i 8u33 pozwala zdalnym atakującym wpłynąć na poufność danych poprzez nieznane wektory związane z modułem 2D.

Nieokreślona podatność w Oracle Java SE w wersjach 6u95, 7u80 i 8u45. Zdalny atakujący może wpłynąć na poufność danych poprzez nieznane wektory związane z procesem instalacji.

Nieokreślona podatność w Oracle Java SE w wersjach 6u95, 7u80 i 8u45, JRockit R28.3.6 oraz Java SE Embedded 7u75 i 8u33. Zdalny atakujący może wpłynąć na poufność danych poprzez wektory związane z komponentem JSSE.

Nieokreślona podatność w Oracle Java SE 6u95, 7u80 i 8u45, JRockit R28.3.6 oraz Java SE Embedded 7u75 i 8u33 pozwala zdalnym atakującym wpłynąć na poufność danych poprzez wektory związane z JCE.