Oracle ha pubblicato un rilascio programmato di aggiornamenti dei propri prodotti (Critical Patch Update), volti ad eliminare problemi critici e vulnerabilità. L'aggiornamento di aprile ha risolto un totale di 441 vulnerabilità.
Alcuni problemi:
- 10 problemi di sicurezza in Java SE e 13 problemi in GraalVM. 8 vulnerabilità in Java SE possono essere sfruttate in remoto senza autenticazione e colpiscono ambienti che consentono l'esecuzione di codice non affidabile. I problemi più pericolosi in Java SE (vulnerabilità in JavaFX/WebKitGTK) e GraalVM (vulnerabilità in Node.js) hanno un livello di gravità di 7.5 su 10. Le vulnerabilità sono state corrette nelle versioni di Java SE 22.0.1, 21.0.3 e 17.0.11.
- 26 vulnerabilità nel server MySQL, tutte sfruttabili da remoto. Il problema più grave ha un livello di gravità pari a 6.5 ed è associato a una vulnerabilità in openSSL. Vulnerabilità meno pericolose riguardano l'ottimizzatore, InnoDB, Thread Pooling, Group Replication Plugin, Audit Plugin, DML, mysqldump. I problemi verranno risolti nelle versioni MySQL Community Server 8.4.0 e 8.0.38.
- 13 vulnerabilità in VirtualBox, 7 delle quali contrassegnate come pericolose (quattro problemi hanno un livello di gravità di 8.8 su 10 e tre hanno un livello di gravità di 7.8 su 10). I dettagli sulle vulnerabilità non vengono divulgati, ma a giudicare dal livello di gravità impostato, consentono l'accesso all'ambiente host dai sistemi ospiti. Due vulnerabilità compaiono solo sugli host Linux e due solo sugli host Windows. Una delle vulnerabilità consente un attacco remoto tramite HTTP senza autenticazione, ma il livello di gravità di questo problema è fissato a 5.9 su 10 a causa della complessità dello sfruttamento. Le vulnerabilità sono state corrette nell'aggiornamento VirtualBox 7.0.16.
- 3 vulnerabilità in Solaris che interessano la tecnologia e le utilità di sistema di Solaris Zones. Ai problemi sono stati assegnati i livelli di gravità 8.2, 7.8 e 2.0. Le vulnerabilità sono state risolte nell'aggiornamento Solaris 11.4 SRU68. Oltre ad eliminare le vulnerabilità, la nuova versione aggiorna anche le versioni del pacchetto Explorer 24.2, Node.js 18.19.1, BIND 9.18.24, libuv 1.48.0, sendmail 8.18.1, Unbound 1.19.1, Firefox 115.9.0esr, Thunderbird 115.9.0 .86, libreria/nss, libreria/libtiff e kernel/arch-xXNUMX.
Fonte: opennet.ru