Podatności Oracle Java SE

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent 2D), dotyczy m.in. wersji 8u503, 11.0.32.1, 17.0.20.1, 21.0.12.1 i 21.3.19.1.1. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez wiele protokołów na naruszenie integralności danych i częściową odmowę usługi.

Podatność w Oracle Java SE i Oracle GraalVM Enterprise Edition (komponent 2D) w wersjach 8u503, 8u503-perf i 21.3.19.1.1. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym na modyfikację, wstawianie lub usuwanie części danych; dotyczy także środowisk z sandboxem Java Web Start/aplikacji.

Podatność w komponencie Utility produktów Oracle Java SE, Oracle GraalVM for JDK oraz Oracle GraalVM Enterprise Edition. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem logowania do infrastruktury na nieautoryzowaną modyfikację i odczyt części danych. Może być wykorzystana przez API komponentu, np. przez usługę sieciową dostarczającą dane, a także w środowiskach Java uruchamiających niezaufany kod w sandboxie.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent JDK tools), dotyczy m.in. wersji 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1 i 27. Trudna do wykorzystania luka wymaga zalogowania do infrastruktury oraz interakcji użytkownika i może prowadzić do nieautoryzowanej modyfikacji danych.

Podatność w bibliotekach Oracle Java SE (komponent Libraries) dotyczy trudnych w wykorzystaniu ataków wymagających zalogowania do infrastruktury i interakcji użytkownika. Udana eksploatacja może pozwolić na nieautoryzowane tworzenie, usuwanie lub modyfikację krytycznych danych.

Podatność w komponencie Serviceability produktów Oracle Java SE, GraalVM for JDK i GraalVM Enterprise Edition umożliwia trudny w wykorzystaniu atak przez sieć. Może skutkować nieautoryzowaną aktualizacją, wstawianiem lub usuwaniem danych oraz nieautoryzowanym odczytem podzbioru danych.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent Libraries) dotyczy wielu obsługiwanych wersji. Łatwo wykorzystywalna luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez wiele protokołów na nieautoryzowaną aktualizację, wstawianie lub usuwanie danych oraz nieautoryzowany odczyt podzbioru danych.

Nieokreślona podatność w Oracle Java SE 8u92 pozwala lokalnym użytkownikom wpływać na poufność, integralność i dostępność poprzez wektory związane z instalacją.

Nieokreślona podatność w Oracle Java SE 6u113, 7u99 i 8u77 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność systemu poprzez wektory związane z wdrożeniem.

Nieokreślona podatność w Oracle Java SE 8u60 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z JavaFX.

Nieokreślona podatność w Oracle Java SE 8u25 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z Hotspot.

Nieokreślona podatność w Oracle Java SE 6u85, 7u72 i 8u25 umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność systemu poprzez wektory związane z JAX-WS.

Nieokreślona podatność w Oracle Java SE 5.0u75, 6u85, 7u72 i 8u25 umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z Hotspot.

Nieokreślona podatność w Oracle Java SE 8u25 pozwala zdalnym atakującym wpływać na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z bibliotekami.

Nieokreślona podatność w Oracle Java SE 8u20 pozwala zdalnym atakującym wpływać na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z bibliotekami.

Nieokreślona podatność w Oracle Java SE 6u81, 7u67 i 8u20, działająca w przeglądarce Firefox, umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność poprzez nieznane wektory związane z wdrożeniem.

Nieokreślona podatność w Oracle Java SE 5.0u65, 6u75, 7u60 i 8u5 umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z bibliotekami.

Nieokreślona podatność w Oracle Java SE 8u5 umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z JavaFX.

Nieokreślona podatność w Oracle Java SE 7u60 pozwala zdalnym atakującym wpływać na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z bibliotekami.

Nieokreślona podatność w Oracle Java SE 5.0u65, 6u75, 7u60 i 8u5 umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z Hotspot.

Nieokreślona podatność w Oracle Java SE 8 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z JavaFX.

Nieokreślona podatność w Oracle Java SE 6u113, 7u99 i 8u77 umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność poprzez wektory związane z grafiką 2D. Istnieją twierdzenia, że problem ten pozwala na uzyskanie wrażliwych informacji za pomocą spreparowanych danych czcionek, co prowadzi do odczytu poza przydzielonym obszarem pamięci.

Nieokreślona podatność w komponentach Java SE, Java SE Embedded i JRockit w Oracle Java SE 6u105, 7u91 i 8u66; Java SE Embedded 8u65; oraz JRockit R28.3.8 pozwala zdalnym atakującym wpłynąć na dostępność poprzez wektory związane z JAXP.

Nieokreślona podatność w komponentach Java SE i Java SE Embedded w Oracle Java SE 6u105, 7u91 i 8u66 oraz Java SE Embedded 8u65 pozwala zdalnym atakującym wpłynąć na integralność poprzez nieznane wektory związane z Networking.

Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60; Java SE Embedded 8u51; oraz JRockit R28.3.7 pozwala zdalnym atakującym wpłynąć na dostępność poprzez wektory związane z JAXP. Jest to inna podatność niż CVE-2015-4803 i CVE-2015-4893.

Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na poufność danych poprzez wektory związane z RMI.

Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60; Java SE Embedded 8u51; oraz JRockit R28.3.7 pozwala zdalnym atakującym wpłynąć na dostępność poprzez wektory związane z JAXP. Jest to inna podatność niż CVE-2015-4803 i CVE-2015-4911.

Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na dostępność poprzez wektory związane z CORBA.

Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na poufność poprzez wektory związane z JAXP.

Nieokreślona podatność w Oracle Java SE 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na poufność danych poprzez nieznane wektory związane z 2D.

Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na poufność i integralność danych poprzez nieznane wektory związane z bibliotekami.

Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60; Java SE Embedded 8u51; oraz JRockit R28.3.7 pozwala zdalnym atakującym wpłynąć na dostępność poprzez wektory związane z JAXP. Jest to inna podatność niż CVE-2015-4893 i CVE-2015-4911.

Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na poufność poprzez wektory związane z JGSS.

Nieokreślona podatność w Oracle Java SE 6u95, 7u80 i 8u45 oraz Java SE Embedded 7u75 i 8u33 pozwala zdalnym atakującym wpłynąć na poufność danych poprzez wektory związane z JMX.

Nieokreślona podatność w Oracle Java SE 5.0u81, 6u91, 7u76 i 8u40 umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność poprzez nieznane wektory związane z grafiką 2D.

Nieokreślona podatność w Oracle Java SE 7u51 i 8 oraz Java SE Embedded 7u51 pozwala zdalnemu atakującemu wpłynąć na dostępność poprzez nieznane wektory związane z komponentem 2D.

Podatność w komponencie Compiler produktu Oracle Java SE (wersje 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 27), Oracle GraalVM for JDK oraz Oracle GraalVM Enterprise Edition. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez wiele protokołów na nieautoryzowaną aktualizację, wstawianie lub usuwanie części danych oraz nieautoryzowany odczyt podzbioru danych; wymaga dostarczenia danych do API komponentu bez użycia niezaufanych aplikacji Java Web Start lub apletów.

Podatność w komponencie Java plugin produktu Oracle Java SE (wersje 8u503 i 8u503-perf). Nisko uprzywilejowany atakujący z dostępem lokalnym może uzyskać nieautoryzowany dostęp do krytycznych danych oraz ich tworzenie, usuwanie i modyfikację; eksploatacja jest trudna, a skutki mogą wykraczać poza Java SE (scope change). Dotyczy klientów uruchamiających niezaufany kod w sandboxie (np. aplety, Web Start). CVSS 7.5.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent JGSS). Trudny do wykorzystania atakujący bez uwierzytelnienia z dostępem sieciowym może, przy interakcji użytkownika, uzyskać nieautoryzowany dostęp do krytycznych danych. Podatność dotyczy klientów z sandboxem Java Web Start lub apletami Java.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent JGSS). Trudny do wykorzystania atakujący bez uwierzytelnienia z dostępem sieciowym może, przy interakcji użytkownika, uzyskać nieautoryzowany dostęp do krytycznych danych. Podatność dotyczy klientów z sandboxem Java Web Start lub apletami Java.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent JGSS). Trudny do wykorzystania atakujący bez uwierzytelnienia z dostępem sieciowym może dokonywać nieautoryzowanych operacji tworzenia, usuwania lub modyfikacji krytycznych danych. Podatność można wykorzystać wyłącznie przez dostarczanie danych do API komponentu, np. przez usługę sieciową.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent JSSE). Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez TLS na nieautoryzowaną modyfikację, wstawianie lub usuwanie danych; dotyczy API komponentu, np. przez usługę webową.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent Lightweight HTTP Server). Nieuwierzytelniony atakujący z dostępem sieciowym może dokonywać nieautoryzowanych aktualizacji, wstawiania lub usuwania danych. Podatność można wykorzystać wyłącznie przez dostarczanie danych do API komponentu, np. przez usługę sieciową.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent Networking). Nieuwierzytelniony atakujący z dostępem sieciowym może dokonywać nieautoryzowanych aktualizacji, wstawiania lub usuwania danych. Podatność można wykorzystać wyłącznie przez dostarczanie danych do API komponentu, np. przez usługę sieciową.

Podatność w Oracle Java SE w komponencie Networking. Nieuwierzytelniony atakujący z dostępem sieciowym może wykorzystać podatność poprzez dostarczenie danych do API komponentu, co prowadzi do nieautoryzowanej modyfikacji, wstawiania lub usuwania części danych dostępnych w Oracle Java SE.

Podatność w komponencie ImageIO produktów Oracle Java SE, JavaFX oraz GraalVM. Nieuwierzytelniony atakujący z dostępem sieciowym może wywołać częściową odmowę usługi (partial DoS).

Podatność w komponencie CORBA produktów Oracle Java SE i GraalVM Enterprise Edition. Nieuwierzytelniony atakujący z dostępem sieciowym może wywołać częściową odmowę usługi (partial DoS).