🇰🇷 한글 설명
Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition의 Networking 컴포넌트에 존재하는 취약점입니다. 인증되지 않은 원격 공격자가 네트워크를 통해 여러 프로토콜로 공격하여 서비스 중단(DoS)을 유발할 수 있으며, CVSS 기본 점수는 7.5(High)입니다. 샌드박스된 Java Web Start 애플리케이션이나 Java 애플릿도 영향을 받습니다.
💡 쉬운 설명
인터넷으로 누구나 접근할 수 있는 Java 기반 서비스를 공격자가 악의적인 요청으로 멈추게 하거나 반복적으로 강제 종료시킬 수 있습니다. 로그인 없이도 공격이 가능해 서비스 가용성이 크게 위협받습니다.
🇺🇸 원문 (English)
Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: Networking). Supported versions that are affected are Oracle Java SE: 8u481-perf, 11.0.30, 17.0.18, 21.0.10, 25.0.2, 26; Oracle GraalVM for JDK: 17.0.18 and 21.0.10; Oracle GraalVM Enterprise Edition: 21.3.17. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Note: This vulnerability can be exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the APIs. This vulnerability also applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. CVSS 3.1 Base Score 7.5 (Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H).
📍 영향받는 시스템
Oracle Java SE 8u481-perf, 11.0.30 이하, 17.0.18 이하, 21.0.10 이하, 25.0.2 이하, 26 / GraalVM for JDK 17.0.18, 21.0.10 / GraalVM Enterprise 21.3.17
⚔️ 공격 벡터
네트워크를 통해 인증 없이 취약한 Networking API를 호출하는 요청(예: 웹 서비스 입력)을 전송하여 프로세스를 중단 또는 반복 충돌시킴
🛡️ 대응 방법
Oracle 보안 패치가 적용된 최신 Java 버전(Java SE 8u491 이상, 11.0.31 이상, 17.0.19 이상, 21.0.11 이상, 25.0.3 이상, 26.0.1 이상 등)으로 업데이트
🔧 검증 코드
출력된 버전이 영향받는 버전 목록(예: 17.0.18, 21.0.10)과 같거나 낮으면 취약하며, 패치된 상위 버전이면 조치가 완료된 것입니다.
java -version 2>&1 | head -n 1
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition