Oracle Java (2024 年 4 月 CPU)
critical Nessus プラグイン ID 193574
Language:
概要
リモートホストは、複数の脆弱性の影響を受けます説明
リモートホストにインストールされている Java のバージョン 8u401、20.3.13、21.3.9、11.0.23、17.0.11、21.0.3、22 および perf は、2024 年 4 月の CPU のアドバイザリに記載されている複数の脆弱性の影響を受けます。- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: JavaFX (WebKitGTK))。影響を受けるサポートされたバージョンは、Java SE: 8u401、Oracle GraalVM Enterprise Edition: 20.3.13、21.3.9 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の乗っ取りが発生する可能性があります。(CVE-2023-41993)
- Oracle Java SE の Oracle GraalVM for JDK 製品の脆弱性 (コンポーネント: Node (Node.js))。影響を受けるサポートされたバージョンは Oracle GraalVM for JDK: 17.0.10、21.0.2、22 です。悪用が難しい脆弱性によって、権限が低い攻撃者が、Oracle GraalVM for JDK が実行されているインフラストラクチャにログオンし、Oracle GraalVM for JDK を危険にさらすことが可能です。この脆弱性が Oracle GraalVM for JDK に存在する間は、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle GraalVM for JDK がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、Oracle GraalVM for JDK がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります。
(CVE-2024-21892)
- Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u401、8u401-perf、11.0.23、17.0.11、21.0.3、22、Oracle GraalVM for JDK: 17.0.11、21.0.3、Oracle GraalVM Enterprise Edition: 20.3.13 および 21.3.9 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。(CVE-2024-21011)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
2024 年 4 月の Oracle Critical Patch Update アドバイザリに従い、適切なパッチを適用してください。参考資料
https://www.oracle.com/docs/tech/security-alerts/cpuapr2024csaf.json
プラグインの詳細
深刻度: Critical
ID: 193574
ファイル名: oracle_java_cpu_apr_2024.nasl
バージョン: 1.1
タイプ: local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2024/4/19
更新日: 2024/4/20
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.4
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 8.3
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2023-41993
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 9.1
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:oracle:jdk, cpe:/a:oracle:jre
必要な KB アイテム: SMB/Java/JRE/Installed
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2024/4/16
脆弱性公開日: 2024/4/16
CISA の既知の悪用された脆弱性の期限日: 2023/10/16
参照情報
CVE: CVE-2023-32643, CVE-2023-41993, CVE-2024-20954, CVE-2024-21002, CVE-2024-21003, CVE-2024-21004, CVE-2024-21005, CVE-2024-21011, CVE-2024-21012, CVE-2024-21068, CVE-2024-21085, CVE-2024-21094, CVE-2024-21098, CVE-2024-21892
IAVA: 2024-A-0239