Lỗ hổng JSSE trong Oracle Java SE và Oracle GraalVM cho phép truy cập, sửa đổi dữ liệu trái phép

Lỗ hổng trong sản phẩm Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition của Oracle Java SE (thành phần: JSSE). Các version được hỗ trợ bị ảnh hưởng là Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1; Oracle GraalVM for JDK: 17.0.21 và 21.0.13; Oracle GraalVM Enterprise Edition: 21.3.20. Lỗ hổng dễ khai thác này cho phép kẻ tấn công chưa được xác thực có quyền truy cập mạng, thông qua nhiều giao thức, xâm phạm Oracle Java SE, Oracle GraalVM for JDK và Oracle GraalVM Enterprise Edition. Các cuộc tấn công thành công có thể dẫn đến quyền tạo, xóa hoặc sửa trái phép đối với dữ liệu quan trọng hoặc toàn bộ dữ liệu mà Oracle Java SE, Oracle GraalVM for JDK và Oracle GraalVM Enterprise Edition có thể truy cập, đồng thời có thể dẫn đến quyền truy cập trái phép vào dữ liệu quan trọng hoặc toàn quyền truy cập vào toàn bộ dữ liệu mà các sản phẩm này có thể truy cập. Lưu ý: Lỗ hổng này có thể bị khai thác bằng cách sử dụng các API trong Component được chỉ định, chẳng hạn thông qua một web service cung cấp dữ liệu cho các API. Lỗ hổng này cũng áp dụng cho các triển khai Java, thường là các client chạy sandboxed Java Web Start applications hoặc sandboxed Java applets, có tải và thực thi code không đáng tin cậy, chẳng hạn code đến từ Internet, và dựa vào Java sandbox để bảo mật. CVSS 3.1 Base Score 9.1 (tác động đến tính bảo mật và tính toàn vẹn). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N).

• Oracle Java SE: các version bị ảnh hưởng là 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 và 27.0.1.
• Oracle GraalVM for JDK: các version bị ảnh hưởng là 17.0.21 và 21.0.13.
• Oracle GraalVM Enterprise Edition: version bị ảnh hưởng là 21.3.20.
• Oracle cho biết các release ngoài giai đoạn Premier Support hoặc Extended Support không được kiểm tra về lỗ hổng này, và các version cũ hơn của các release bị ảnh hưởng có khả năng cũng bị ảnh hưởng. Trạng thái của các branch không được liệt kê, bao gồm branch mới hơn hoặc branch song song, chưa được record này xác nhận. Không có fixed release cụ thể được cung cấp trong record hoặc advisory đã kiểm tra.

Lỗ hổng nằm trong thành phần JSSE của Oracle Java SE, Oracle GraalVM for JDK và Oracle GraalVM Enterprise Edition. Kẻ tấn công từ xa chưa được xác thực có thể cung cấp dữ liệu cho các API của thành phần này; Oracle nêu ví dụ một web service truyền dữ liệu vào các API đó. Oracle cho biết bản cập nhật Java xử lý vấn đề bằng cách không còn tin cậy một tập intermediate CA certificate bị ảnh hưởng có liên quan đến eMudhra. Điều này cho thấy cơ chế xử lý trust hoặc certificate có liên quan, nhưng advisory công khai không nêu điều kiện validation cụ thể, API operation cụ thể hay chuỗi khai thác hoàn chỉnh. Lỗ hổng cũng áp dụng cho các triển khai Java chạy sandboxed Java Web Start applications hoặc sandboxed Java applets có tải và thực thi code không đáng tin cậy.

Lỗ hổng có thể bị khai thác qua mạng bằng nhiều giao thức. Đánh giá được cung cấp mô tả lỗ hổng là dễ khai thác, không yêu cầu authentication và không yêu cầu user interaction. Oracle nêu rằng các API trong JSSE có thể bị tác động thông qua một web service cung cấp dữ liệu cho API. Phạm vi còn bao gồm sandboxed Java Web Start applications và sandboxed Java applets chạy untrusted code. Bằng chứng hiện có không xác định liệu đã có public exploit hoặc khai thác thực tế hay chưa.

Khai thác thành công có thể làm lộ dữ liệu mà runtime bị ảnh hưởng có thể truy cập, đồng thời cho phép tạo, xóa hoặc sửa dữ liệu trái phép. Record mô tả việc khai thác từ mạng mà không cần authentication hoặc user interaction, trong phạm vi security authority của hệ thống bị ảnh hưởng. Tác động thực tế phụ thuộc vào dữ liệu, quyền của service và cách ứng dụng sử dụng JSSE; các chi tiết này không được xác định cụ thể. Record không xác định tác động đến tính sẵn sàng.

Một service dùng runtime bị ảnh hưởng có thể cho phép truy cập trái phép vào dữ liệu quan trọng hoặc cho phép tạo, xóa và sửa dữ liệu mà ứng dụng có thể truy cập. Tác động vận hành có thể bao gồm mất tính toàn vẹn dữ liệu, lộ dữ liệu, phải xác minh lại các thay đổi và tiến hành điều tra sự cố. Các tổ chức nên ưu tiên những hệ thống hướng ra mạng và những client thực thi code không đáng tin cậy trong sandbox. Bằng chứng hiện có không xác nhận một vụ xâm nhập, nạn nhân cụ thể hoặc tác động đến tính sẵn sàng.

1. Cập nhật Oracle Java SE, Oracle GraalVM for JDK và Oracle GraalVM Enterprise Edition theo hướng dẫn trong Oracle Security Alert và tài liệu patch availability tương ứng. Oracle hướng dẫn cập nhật lên Java version mới nhất; bản cập nhật xử lý vấn đề bằng cách không còn tin cậy các intermediate CA certificate bị ảnh hưởng có liên quan đến eMudhra.
2. Nếu chưa thể cập nhật ngay, áp dụng các mitigation được Oracle khuyến nghị trong advisory. Chi tiết mitigation không được suy diễn thêm ở đây vì record không cung cấp nội dung cụ thể.
3. Ưu tiên các service hướng ra mạng có sử dụng JSSE, các web service truyền dữ liệu vào API của thành phần này và các client chạy sandboxed Java Web Start applications hoặc sandboxed Java applets.
4. Trong thời gian chờ cập nhật, có thể giảm network reachability không cần thiết tới các service liên quan như một biện pháp thận trọng, nhưng đây không phải là thay thế cho bản cập nhật.
5. Xác minh inventory sau khi xử lý và không mặc định coi các release không được liệt kê là an toàn. Oracle cho biết các release cũ hơn có khả năng cũng bị ảnh hưởng và khuyến nghị nâng cấp lên các version còn được hỗ trợ.

1. Kiểm kê các runtime Oracle Java SE, Oracle GraalVM for JDK và Oracle GraalVM Enterprise Edition, sau đó kiểm tra version đang thực sự được các service và client sử dụng.
2. Xác định các ứng dụng sử dụng JSSE, đặc biệt là các web service hoặc endpoint truyền dữ liệu không đáng tin cậy vào các API của thành phần này.
3. Kiểm tra các máy trạm hoặc ứng dụng còn sử dụng sandboxed Java Web Start applications hay sandboxed Java applets để tải và chạy code từ nguồn không tin cậy.
4. Rà soát telemetry liên quan đến certificate trust và intermediate CA certificate có liên quan đến eMudhra như một biện pháp kiểm tra bổ sung. Đây là kiểm tra thận trọng, không phải IOC được Oracle xác nhận.
5. Xác minh sau khi cập nhật rằng service hoặc client đã chuyển sang runtime đã được xử lý. Oracle không cung cấp log event, IOC hoặc forensic signature cụ thể; không thấy các dấu hiệu đó không chứng minh hệ thống an toàn.