КиберосноваSGRC
BDU:2023-04347
Низкий

BDU:2023-04347: Уязвимость компонента Hotspot программной платформы Java SE и виртуальных машин Oracle GraalVM Enterprise Edition и Oracle GraalVM for JDK, позволяющая нарушителю получить доступ к конфиденциальной информации

CVSS v33.7
CVSS v22.6
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2023-04347

Описание

Уязвимость компонента Hotspot программной платформы Java SE и виртуальных машин Oracle GraalVM Enterprise Edition и Oracle GraalVM for JDK связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации

Что делать с BDU:2023-04347

Низкая уязвимость (CVSS 3.7) — устраните при плановом обновлении. Если уязвимый компонент не используется в критичных системах, риск минимален.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
3.7Низкий
Пересчитать →
v2
2.6
Только просмотр
AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:NAV:N/AC:H/Au:N/C:P/I:N/A:N

CWE — тип уязвимости

CWE-20

CVE — международный идентификатор

CVE-2023-22044
CWE-20
Недостаточная проверка ввода

Программа не проверяет или неправильно проверяет входные данные. Базовая причина большинства инъекций и переполнений.

Как атакуют и что делать ▾

Сценарий атаки

Атакующий отправляет неожиданный ввод: отрицательные числа, спецсимволы, сверхдлинные строки — программа обрабатывает их без проверки.

Последствия

Базовая причина большинства инъекций, переполнений и логических ошибок.

Рекомендации

Валидируйте все входные данные по white-list, ограничивайте длину, тип и диапазон значений.

Тактики и техники

Манипулирование ресурсами

Уязвимое ПО (13)

ВендорНазваниеВерсияПлатформа
Oracle Corp.Java SE17.0.7Не указана
Oracle Corp.GraalVM Enterprise Edition21.3.6Не указана
Oracle Corp.GraalVM Enterprise Edition22.3.2Не указана
Oracle Corp.Oracle GraalVM for JDK17.0.7Не указана
Oracle Corp.Oracle GraalVM for JDK20.0.1Не указана
Oracle Corp.Java SE8u371-perfНе указана
Oracle Corp.OpenJDK20.0.1Не указана
Oracle Corp.OpenJDK17.0.7Не указана
АО «ИВК»АЛЬТ СП 10-Не указана
АО «ИВК»Альт Рабочая станция К10Не указана
Axiom JDKAxiom AxiomJDKдо 17.0.7.0.1Не указана
Axiom JDKAxiom AxiomJDKдо 17.0.8Не указана
Azul Systems, Inc.Zulu OpenJDKдо 11.66.15-CAНе указана

Среды функционирования (2)

ВендорНазваниеВерсияПлатформа
АО «ИВК»АЛЬТ СП 10-Не указана
АО «ИВК»Альт Рабочая станция К10Не указана

Рекомендации по устранению

Использование рекомендаций: https://www.oracle.com/security-alerts/cpujul2023.html https://openjdk.org/groups/vulnerability/advisories/2023-07-18 Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства Для ОС Альт Рабочая станция К 10: https://packages.altlinux.org/ru/vuln/CVE-2023-22044 Для Axiom AxiomJDK: https://axiomjdk.ru/blog/ Для Zulu OpenJDK: https://cdn.azul.com/zulu/bin/zulu11.66.15-ca-jdk11.0.20-linux.x86_64.rpm Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Источники (1)

SLA ФСТЭК №117

90 дней

по базовой оценке CVSS 3.7

Уточните SLA под вашу среду

Базовый балл 3.7 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации1.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2023-07-18

Опубликована

2023-08-02

Обновлена

2024-05-27

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2023-22044 MITRE: CWE-20 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Низкий
3.7

Уязвимость компонента 2D программной платформы Oracle Java SE, виртуальных машин Oracle GraalVM for JDK и Oracle GraalVM

 
Низкий
3.1

Уязвимость компонента JavaFX программной платформы Oracle Java SE, позволяющая нарушителю скомпрометировать систему

 
Высокий
7.5

Уязвимость компонентов Scripting программной платформы Oracle Java SE, позволяющая нарушителю получить несанкционированн

 
Высокий
7.5

Уязвимость компонентов Scripting программной платформы Oracle Java SE, позволяющая нарушителю получить несанкционированн

 
Высокий
7.5

Уязвимость компонентов Libraries программной платформы Oracle Java SE, виртуальных машин Oracle GraalVM for JDK и Oracle

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0