🇰🇷 한글 설명
Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition의 JDBC 컴포넌트에 존재하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 여러 프로토콜로 접근하여 제품을 침해할 수 있으며, 중요 데이터에 대한 무단 접근이 가능합니다. 샌드박스 Java 애플릿 및 Java Web Start 애플리케이션에도 영향을 줄 수 있습니다.
💡 쉬운 설명
자바 프로그램의 데이터베이스 연결 기능에 결함이 있어 외부인이 인증 없이 중요한 정보를 열람할 수 있습니다. 악성 코드가 포함된 웹 서비스나 인터넷 자바 앱을 통해서도 공격이 가능합니다.
🇺🇸 원문 (English)
Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: JDBC). Supported versions that are affected are Oracle Java SE: 8u503, 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 27; Oracle GraalVM for JDK: 17.0.20.1 and 21.0.12.1; Oracle GraalVM Enterprise Edition: 21.3.19.1.1. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition accessible data. Note: This vulnerability can be exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the APIs. This vulnerability also applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. CVSS 3.1 Base Score 5.9 (Confidentiality impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N).
📍 영향받는 시스템
Oracle Java SE 8u503 및 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 27 / Oracle GraalVM for JDK 17.0.20.1, 21.0.12.1 / Oracle GraalVM Enterprise Edition 21.3.19.1.1
⚔️ 공격 벡터
네트워크를 통해 JDBC 관련 API를 호출하거나 해당 API에 데이터를 전달하는 웹 서비스를 조작하고, 신뢰되지 않은 자바 애플릿/Web Start 코드를 실행시켜 기밀 데이터를 탈취
🛡️ 대응 방법
Oracle 보안 공지(Critical Patch Update)에 따라 영향받는 Java SE/GraalVM을 최신 패치 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전 문자열을 확인하여 영향받는 버전(예: 8u503, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1)에 해당하면 취약하며, 패치된 이후 버전이면 조치가 완료된 것입니다.
java -version 2>&1 | head -n 3
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition