Haavatavused Java SE, MySQL, VirtualBox ja teiste Oracle'i toodete osas

Oracle on avaldanud oma toodete plaanipärase värskenduse (Critical Patch Update), mille eesmärk on kõrvaldada kriitilised probleemid ja haavatavused. Juuli värskenduses kõrvaldatud 309 haavatavust.

Mõned probleemid:

• 9 turvaprobleemi Java SE-s. Kõiki Java SE haavatavusi saab kaugelt ära kasutada ilma autentimiseta ning need mõjutavad keskkondi, mis lubavad usaldamatute koodide käitamise. Kõige ohtlikumad probleemid Java SE-s on riskitasemega 8.6-7.5 ning need mõjutavad võrgufunktsioone, 2D, libxml2 ja libxslt. Haavatavused on kõrvaldatud Java SE versioonides 24.0.2, 21.0.8, 17.0.16, 11.0.28, 8u461.
• 30 haavatavust serveris MySQL-is, millest üks võib olla kaugelt ära kasutatud, kui on olemas juurdepääs päringute saatmiseks andmebaasiserverile. Neli kõige tõsisemaid probleemi on riskitasemega 6.5 ja need on seotud DML ja optimeerija haavatavustega. Vähem ohtlikud haavatavused mõjutavad InnoDB-d, optimeerijat, salvestatud protseduure, LDAP autentimist ja replikatsioonisüsteemi. Probleemid kõrvaldatakse MySQL Community Serveri versioonides 9.4.0, 8.4.6 ja 8.0.43.
• 7 haavatavust VirtualBoxis, millest kolm on märgitud ohtlikeks (8.2 skaalal 10-st). Haavatavused CVE-2025-53024, CVE-2025-53027 ja CVE-2025-53028 on põhjustatud täisarvude ületäitumisest VMSVGA-s, vale lukustamise kasutamisest OHCI USB-s ja puutete ületäitumisest VMSVGA-s, mis võimaldab privileegitud külalisoperatsioonisüsteemi kasutajal käitada koodi hüperviisori tasandil. Haavatavused CVE-2025-53025 ja CVE-2025-53026, millele on antud riskitaseme 6 10-st, põhjustavad hostkeskkonna komponentide mälust väljajooksu, kuna LSILogic ja BusLogic moodulites puudub nõuetekohane mäluihitus. Probleemid kõrvaldatakse VirtualBoxi värskenduses 7.1.12.
• Solarises ei ole juuli haavatavuste aruandes märgitud.

Allikas: opennet.ru