🇰🇷 한글 설명
Oracle Java SE의 Networking 컴포넌트에서 발생하는 취약점으로, 인증되지 않은 공격자가 네트워크를 통해 데이터를 조작할 수 있습니다. 공격 성공 시 Oracle Java SE에서 접근 가능한 일부 데이터에 대해 권한 없는 업데이트, 삽입 또는 삭제가 가능해질 수 있습니다.
💡 쉬운 설명
해커가 네트워크를 통해 자바 프로그램에 잘못된 데이터를 보내 데이터 내용을 몰래 바꾸거나 지울 수 있는 문제입니다. 웹 서비스 등을 통해 특정한 방식으로 데이터를 전달할 때 발생할 수 있습니다.
🇺🇸 원문 (English)
Vulnerability in Oracle Java SE (component: Networking). Supported versions that are affected are Oracle Java SE: 8u503, 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1; Oracle GraalVM for JDK: 17.0.20.1 and 21.0.12.1; Oracle GraalVM Enterprise Edition: 21.3.19.1.1. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle Java SE accessible data. Note: This vulnerability can only be exploited by supplying data to APIs in the specified Component without using Untrusted Java Web Start applications or Untrusted Java applets, such as through a web service. CVSS 3.1 Base Score 5.3 (Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N).
📍 영향받는 시스템
Oracle Java SE (8u503, 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1), Oracle GraalVM (17.0.20.1, 21.0.12.1), Oracle GraalVM EE (21.3.19.1.1)
⚔️ 공격 벡터
네트워크를 통해 특정 API에 조작된 데이터를 공급하여 공격 (Web Service 등 활용)
🛡️ 대응 방법
Oracle에서 제공하는 최신 보안 패치가 적용된 Java SE 및 GraalVM 버전으로 업데이트
🔧 검증 코드
명령어 실행 결과에 취약한 버전 번호가 출력되면 해당 버전이 설치되어 있는 상태입니다.
java -version 2>&1 | grep -E '1.8.0_503|11.0.32|17.0.20|21.0.12|25.0.4'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition