🇰🇷 한글 설명
Oracle Java SE의 Libraries 구성요소에 존재하는 취약점으로, 네트워크를 통해 인증 없이 접근한 공격자가 API를 악용하여 Java SE의 부분적인 서비스 거부(DoS) 상태를 유발할 수 있습니다. 샌드박스 환경의 Java Web Start 애플리케이션이나 Java 애플릿에서도 영향을 미칠 수 있습니다. CVSS 3.1 기준 5.3점(중간)이며 가용성(A:L)에만 영향을 줍니다.
💡 쉬운 설명
Java 프로그램의 라이브러리에 결함이 있어, 외부에서 특정 요청을 보내면 Java 프로그램이 일부 기능을 멈출 수 있습니다. 데이터 유출이나 시스템 장악은 아니고 서비스 중단 위험입니다.
🇺🇸 원문 (English)
Vulnerability in Oracle Java SE (component: Libraries). Supported versions that are affected are Oracle Java SE: 8u491, 8u491-perf, 11.0.31, 17.0.19, 21.0.11, 25.0.3, 26.0.1; Oracle GraalVM for JDK: 17.0.19 and 21.0.11; Oracle GraalVM Enterprise Edition: 21.3.18. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE. Successful attacks of this vulnerability can result in unauthorized ability to cause a partial denial of service (partial DOS) of Oracle Java SE. Note: This vulnerability can be exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the APIs. This vulnerability also applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. CVSS 3.1 Base Score 5.3 (Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L).
📍 영향받는 시스템
Oracle Java SE 8u491, 11.0.31, 17.0.19, 21.0.11, 25.0.3, 26.0.1 및 GraalVM for JDK 17.0.19/21.0.11, GraalVM Enterprise 21.3.18
⚔️ 공격 벡터
네트워크를 통해 인증 없이 여러 프로토콜로 전달된 데이터가 취약한 Java API를 호출하도록 하여 부분 서비스 거부를 유발
🛡️ 대응 방법
Oracle 보안 패치가 적용된 최신 Java SE 버전(8u491 이후, 11.0.31 이후, 17.0.19 이후, 21.0.11 이후, 25.0.3 이후, 26.0.1 이후)으로 업데이트
🔧 검증 코드
출력된 버전이 영향받는 버전 목록(예: 17.0.19 미만, 21.0.11 미만)에 해당하면 취약하며, 패치된 버전 이상이면 조치 완료입니다.
java -version 2>&1 | head -n 1
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition