Oracle heeft een geplande release van productupdates (Critical Patch Update) gepubliceerd, gericht op het oplossen van kritieke problemen en kwetsbaarheden. In de april-update zijn in totaal 520 kwetsbaarheden verholpen.
Enkele problemen:
- 6 beveiligingsproblemen in Java SE. Alle kwetsbaarheden kunnen op afstand worden misbruikt zonder authenticatie en zijn van toepassing op omgevingen die onbetrouwbare code uitvoeren. Twee problemen zijn geclassificeerd met een risiconiveau van 7.5. De kwetsbaarheden zijn verholpen in de versies Java SE 18.0.1, 11.0.15 en 8u331.
Een van de problemen (CVE-2022-21449) maakt het mogelijk om een valse digitale handtekening ECDSA te genereren, waarbij nulparameters van de curve worden gebruikt (als de parameters nul zijn, gaat de curve naar oneindig, daarom zijn nulwaarden expliciet verboden in de specificatie). In de Java-bibliotheken ontbrak een controle op nulwaarden van ECDSA-parameters, waardoor Java in alle gevallen handtekeningen met nulparameters als geldig beschouwde.
De kwetsbaarheid kan ook worden gebruikt voor het genereren van valse TLS-certificaten, die door Java als geldig worden beschouwd, en voor het omzeilen van authenticatie via WebAuthn en het vormen van valse JWT-handtekeningen en OIDC-tokens. Met andere woorden, de kwetsbaarheid maakt het mogelijk om universele certificaten en handtekeningen te genereren die door Java-verwerkers, die gebruikmaken van de standaardklassen java.security.*, als geldig worden beschouwd. Het probleem doet zich voor in de versies Java 15, 16, 17 en 18. Een voorbeeld van het genereren van valse certificaten is beschikbaar. jshell> import java.security.* jshell> var keys = KeyPairGenerator.getInstance("EC").generateKeyPair() keys == java.security.KeyPair@626b2d4a jshell> var blankSignature = new byte[64] blankSignature == byte[64] { 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, … , 0, 0, 0, 0, 0, 0, 0, 0 } jshell> var sig = Signature.getInstance("SHA256WithECDSAInP1363Format") sig == Signature object: SHA256WithECDSAInP1363Format jshell> sig.initVerify(keys.getPublic()) jshell> sig.update("Hello, World".getBytes()) jshell> sig.verify(blankSignature) $8 == true
- 26 kwetsbaarheden in de server MySQL, waarvan twee op afstand kunnen worden misbruikt. De meest ernstige problemen, die verband houden met het gebruik van OpenSSL en protobuf, zijn geclassificeerd met risiconiveaus van 7.5. Minder ernstige kwetsbaarheden hebben betrekking op de optimizer, InnoDB, replicatie, PAM-plug-in, DDL, DML, FTS en logging. De problemen zijn verholpen in de versies MySQL Community Server 8.0.29 en 5.7.38.
- 5 kwetsbaarheden in VirtualBox. De problemen hebben een bedreigingsniveau van 7,5 tot 3,8 (de meest ernstige kwetsbaarheid doet zich alleen voor op het Windows-platform). De kwetsbaarheden zijn verholpen in de update VirtualBox 6.1.34.
- 6 kwetsbaarheden in Solaris. De problemen betreffen de kernel en hulpprogramma's. De ernstigste kwetsbaarheid in de hulpprogramma's heeft een bedreigingsniveau van 8,2. De kwetsbaarheden zijn verholpen in de update Solaris 11.4 SRU44.
Bron: opennet.ru
