Die Firma Oracle hat eine planmäßige Veröffentlichung von Updates für ihre Produkte (Critical Patch Update) angekündigt, um kritische Probleme und Sicherheitsanfälligkeiten zu beheben. Im April-Update wurden insgesamt 520 Schwachstellen beseitigt.
Einige Probleme:
- 6 Sicherheitsprobleme in Java SE. Alle Sicherheitsanfälligkeiten können aus der Ferne ohne Authentifizierung ausgenutzt werden und betreffen Umgebungen, die die Ausführung von nicht vertrauenswürdigem Code zulassen. Zwei Probleme haben den Gefahrengrad 7,5 erhalten. Die Schwachstellen wurden in den Versionen Java SE 18.0.1, 11.0.15 und 8u331 behoben.
Eines der Probleme (CVE-2022-21449) ermöglicht die Erstellung einer gefälschten digitalen ECDSA-Signatur, indem bei deren Generierung Null-Werte für die Kurvenparameter verwendet werden (wenn die Parameter Null sind, geht die Kurve ins Unendliche, weshalb Null-Werte in der Spezifikation ausdrücklich verboten sind). In den Java-Bibliotheken fehlte die Überprüfung auf Null-Werte für ECDSA-Parameter, daher betrachtete Java in allen Fällen Signaturen mit Null-Parametern als gültig.
Die Sicherheitsanfälligkeit kann unter anderem zur Generierung gefälschter Signaturen verwendet werden. TLS-Zertifikaten, die in Java als korrekt anerkannt werden, sowie um die Authentifizierung über WebAuthn zu umgehen und gefälschte JWT- und OIDC-Tokens zu erstellen. Mit anderen Worten, die Schwachstelle ermöglicht die Generierung universeller Zertifikate und Signaturen, die in Java-Handlern als korrekt angesehen und verarbeitet werden, wobei die Standardklassen java.security.* zur Überprüfung verwendet werden. Das Problem tritt in den Versionen Java 15, 16, 17 und 18 auf. Ein Beispiel zur Generierung gefälschter Zertifikate ist verfügbar. jshell> import java.security.* jshell> var keys = KeyPairGenerator.getInstance("EC").generateKeyPair() keys ==> java.security.KeyPair@626b2d4a jshell> var blankSignature = new byte[64] blankSignature ==> byte[64] { 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, … , 0, 0, 0, 0, 0, 0, 0, 0 } jshell> var sig = Signature.getInstance("SHA256WithECDSAInP1363Format") sig ==> Signature object: SHA256WithECDSAInP1363Format jshell> sig.initVerify(keys.getPublic()) jshell> sig.update("Hello, World".getBytes()) jshell> sig.verify(blankSignature) $8 ==> true
- 26 Schwachstellen in Server MySQL, von denen zwei remote betrieben werden können. Den schwerwiegendsten Problemen, die mit der Nutzung von OpenSSL und protobuf verbunden sind, wurde das Schweregradniveau 7,5 zugewiesen. Weniger gefährliche Schwachstellen betreffen den Optimierer, InnoDB, Replikation, PAM-Plugin, DDL, DML, FTS und Protokollierung. Die Probleme wurden in den Versionen MySQL Community Server 8.0.29 und 5.7.38 behoben.
- 5 Schwachstellen in VirtualBox. Den Problemen wurde ein Schweregrad von 7,5 bis 3,8 zugewiesen (die größte Schwachstelle tritt nur auf der Windows-Plattform auf). Die Schwachstellen wurden mit dem Update auf VirtualBox 6.1.34 behoben.
- 6 Schwachstellen in Solaris. Die Probleme betreffen den Kernel und die Utilities. Dem schwerwiegendsten Problem in den Utilities wurde ein Schweregrad von 8,2 zugewiesen. Die Schwachstellen wurden mit dem Update Solaris 11.4 SRU44 behoben.
Quelle: opennet.ru
