🇰🇷 한글 설명
Oracle Java SE의 JSSE 구성요소에 취약점이 존재합니다. 네트워크를 통해 TLS로 접근하는 인증되지 않은 공격자가 API에 조작된 데이터를 전달하여 Java SE를 침해할 수 있습니다. 성공 시 중요 데이터의 무단 생성, 삭제 또는 수정이 가능합니다.
💡 쉬운 설명
Java 암호화 통신 기능에 결함이 있어, 외부 공격자가 특정 방식으로 데이터를 보내면 중요한 정보를 몰래 바꾸거나 지울 수 있습니다. 신뢰할 수 없는 Java 웹 시작 앱이나 애플릿이 없어도 웹 서비스 등을 통해 악용될 수 있습니다.
🇺🇸 원문 (English)
Vulnerability in Oracle Java SE (component: JSSE). Supported versions that are affected are Oracle Java SE: 8u491, 8u491-perf, 11.0.31, 17.0.19, 21.0.11, 25.0.3, 26.0.1; Oracle GraalVM for JDK: 17.0.19 and 21.0.11; Oracle GraalVM Enterprise Edition: 21.3.18. Difficult to exploit vulnerability allows unauthenticated attacker with network access via TLS to compromise Oracle Java SE. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Java SE accessible data. Note: This vulnerability can only be exploited by supplying data to APIs in the specified Component without using Untrusted Java Web Start applications or Untrusted Java applets, such as through a web service. CVSS 3.1 Base Score 5.9 (Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N).
📍 영향받는 시스템
Oracle Java SE 8u491, 11.0.31, 17.0.19, 21.0.11, 25.0.3, 26.0.1 및 GraalVM for JDK 17.0.19/21.0.11, GraalVM Enterprise 21.3.18 이하 버전
⚔️ 공격 벡터
네트워크 접근이 가능한 미인증 공격자가 TLS를 통해 JSSE API에 조작된 데이터를 전달하여 무결성을 침해 (공격 복잡도 높음)
🛡️ 대응 방법
Oracle 보안 패치가 적용된 최신 Java SE 버전(8u491 이후, 11.0.31 이후, 17.0.19 이후, 21.0.11 이후, 25.0.3 이후, 26.0.1 이후)으로 업데이트
🔧 검증 코드
출력된 버전이 영향받는 버전 목록(8u491, 11.0.31, 17.0.19, 21.0.11, 25.0.3, 26.0.1 등) 이하이면 취약하며, 해당 패치 이상 버전이면 조치된 것입니다.
java -version 2>&1 | head -n 1
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition