Oracle wis nerbitake rilis nganyari sing dijadwal kanggo produke (Critical Patch Update), kanthi tujuan kanggo ngilangi masalah lan kerentanan kritis. Nganyari April ngilangi total 520 kerentanan.
Sawetara masalah:
- 6 Masalah Keamanan ing Jawa SE. Kabeh kerentanan bisa dimanfaatake saka adoh tanpa otentikasi lan mengaruhi lingkungan sing ngidini eksekusi kode sing ora bisa dipercaya. Loro masalah wis diwenehi tingkat keruwetan 7.5. Kerentanan wis ditanggulangi ing rilis Java SE 18.0.1, 11.0.15, lan 8u331.
Salah sawijining masalah (CVE-2022-21449) ngidini sampeyan ngasilake tandha digital ECDSA fiktif nggunakake paramèter kurva nol nalika ngasilake (yen paramèter nol, kurva kasebut dadi tanpa wates, mula nilai nol dilarang sacara eksplisit ing spesifikasi). Pustaka Java ora mriksa nilai null saka paramèter ECDSA, mula nalika ngolah tanda tangan nganggo paramèter null, Jawa dianggep bener ing kabeh kasus).
Antarane liyane, kerentanan bisa digunakake kanggo ngasilake sertifikat TLS fiktif sing bakal ditampa ing Jawa minangka bener, uga kanggo ngliwati otentikasi liwat WebAuthn lan ngasilake teken JWT lan token OIDC fiktif. Ing tembung liyane, kerentanan ngidini sampeyan ngasilake sertifikat lan teken universal sing bakal ditampa lan dianggep bener ing panangan Jawa sing nggunakake kelas java.security.* standar kanggo verifikasi. Masalah kasebut katon ing cabang Jawa 15, 16, 17 lan 18. Conto ngasilake sertifikat palsu kasedhiya. jshell> ngimpor java.security.* jshell> var keys = KeyPairGenerator.getInstance("EC").generateKeyPair() keys ==> java.security.KeyPair@626b2d4a jshell> var blankSignature = new byte[64] blankSignature ==> byte[64] { 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, … , 0, 0, 0, 0, 0, 0, 0, 0 } jshell > var sig = Signature.getInstance("SHA256WithECDSAInP1363Format") sig ==> Signature object: SHA256WithECDSAInP1363Format jshell> sig.initVerify(keys.getPublic()) jshell> sig.update("Hello, World".getBytes()) jshell> sig.verify(blankSignature) $8 ==> true
- 26 kerentanan ing server MySQL, loro sing bisa dimanfaatake kanthi jarak jauh. Masalah paling serius sing ana gandhengane karo panggunaan OpenSSL lan protobuf diwenehi tingkat keruwetan 7.5. Kerentanan sing kurang abot mengaruhi pangoptimal, InnoDB, replikasi, plugin PAM, DDL, DML, FTS lan logging. Masalah kasebut dirampungake ing MySQL Community Server 8.0.29 lan 5.7.38 rilis.
- 5 kerentanan ing VirtualBox. Masalah kasebut diwenehi tingkat keruwetan saka 7.5 nganti 3.8 (kerentanan sing paling mbebayani mung katon ing platform Windows). Kerentanan diatasi ing nganyari VirtualBox 6.1.34.
- 6 kerentanan ing Solaris. Masalah mengaruhi kernel lan keperluan. Masalah paling serius ing keperluan diutus tingkat bebaya 8.2. Kerentanan ditanggulangi ing nganyari Solaris 11.4 SRU44.
Source: opennet.ru