Oracle har offentliggjort en planlagt opdatering af sine produkter (Critical Patch Update), der sigter mod at løse kritiske problemer og sårbarheder. I aprilopdateringen er der i alt rettet 520 sårbarheder.
Nogle problemer:
- 6 sikkerhedsproblemer i Java SE. Alle sårbarheder kan udnyttes eksternt uden autentifikation og påvirker miljøer, der tillader udførelse af usikre koder. To problemer er vurderet til faregrad 7,5. Sårbarhederne er blevet rettet i versionerne Java SE 18.0.1, 11.0.15 og 8u331.
Et af problemerne (CVE-2022-21449) tillader generering af en falsk digital ECDSA-signatur ved at bruge null-parametre for kurven (hvis parametrene er null, går kurven mod uendelig, derfor er null-værdier klart forbudt i specifikationen). I Java-bibliotekerne manglede der kontrol for null-værdier i ECDSA-parametre, så ved behandling af signaturer med null-parametre, anså Java dem i alle tilfælde som gyldige.
Inklusive kan sårbarheden bruges til at generere falske TLS-certifikater, som vil blive accepteret af Java som gyldige, samt til at omgå autentifikation via WebAuthn og til at danne falske JWT-signaturer og OIDC-token. Med andre ord tillader sårbarheden at generere universelle certifikater og signaturer, der vil blive accepteret og opfattet som gyldige i Java-behandlere, der bruger de standardklasser java.security.* til verifikation. Problemet optræder i Java-versionerne 15, 16, 17 og 18. Et eksempel på generering af falske certifikater er tilgængeligt. jshell> import java.security.* jshell> var keys = KeyPairGenerator.getInstance("EC").generateKeyPair() keys == > java.security.KeyPair@626b2d4a jshell> var blankSignature = new byte[64] blankSignature == > byte[64] { 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, … , 0, 0, 0, 0, 0, 0, 0, 0 } jshell> var sig = Signature.getInstance("SHA256WithECDSAInP1363Format") sig == > Signature object: SHA256WithECDSAInP1363Format jshell> sig.initVerify(keys.getPublic()) jshell> sig.update("Hello, World".getBytes()) jshell> sig.verify(blankSignature) $8 == > true
- 26 sårbarheder i serveren MySQL, hvoraf to kan udnyttes eksternt. De mest alvorlige problemer relateret til brug af OpenSSL og protobuf er vurderet til faregrad 7,5. Mindre alvorlige sårbarheder påvirker optimeringsprocessen, InnoDB, replikation, PAM-plugin, DDL, DML, FTS og logføring. Problemerne er blevet rettet i versionerne MySQL Community Server 8.0.29 og 5.7.38.
- 5 sårbarheder i VirtualBox. Problemerne er vurderet til en faregrad fra 7,5 til 3,8 (den mest alvorlige sårbarhed optræder kun på Windows-platformen). Sårbarhederne er blevet løst i opdateringen VirtualBox 6.1.34.
- 6 sårbarheder i Solaris. Problemerne berører kernen og værktøjerne. Den mest alvorlige problemstilling i værktøjerne er vurderet til en faregrad på 8,2. Sårbarhederne er blevet løst i opdateringen Solaris 11.4 SRU44.
Kilde: opennet.ru
