Kritická zraniteľnosť Java SE a GraalVM

Spoločnosť Oracle opravila kritickú zraniteľnosť komponentu JSSE v Java SE, GraalVM for JDK a GraalVM Enterprise Edition, ktorá umožňuje na diaľku bez autentifikácie získať prístup ku citlivým údajom a schopnosť čítať, modifikovať a mazať ich.

Zraniteľné systémy:

  • Oracle Java SE, verzie 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1
  • Oracle GraalVM for JDK, verzie 17.0.21, 21.0.13
  • Oracle GraalVM Enterprise Edition, verzia 21.3.20

Opis činnosti:

CVE-2026-91403 (CVSS skóre 9,1)

Kritická zraniteľnosť komponentu JSSE. Vzdialený neautentifikovaný útočník ju môže zneužiť pomocou webových služieb, z ktorých sa dodávajú dáta do API rozhraní. Získa tak prístup k súborom, ktoré môže čítať, modifikovať a mazať. Môže na to využiť viaceré protokoly.

Zraniteľné sú tiež sandboxované nasadenia aplikácií Java Web Start a appletov Java, ktoré vykonávajú nedôveryhodný kód a využívajú Java sandbox.

Možné škody:

  • Únik citlivých informácií

Odporúčania:

Bezodkladná aktualizácia zraniteľných produktov na opravené verzie.

Odkazy: