🇰🇷 한글 설명
Oracle Java SE의 Compiler 구성요소에 존재하는 취약점입니다. 네트워크를 통해 인증 없이 접근한 공격자가 여러 프로토콜을 이용해 Java SE의 일부 데이터를 변경하거나 열람할 수 있습니다. 공격은 신뢰되지 않은 Java Web Start나 Applet 없이 웹 서비스 등을 통해 API에 데이터를 전달하는 방식으로만 가능합니다.
💡 쉬운 설명
자바 프로그램을 실행하는 환경에서 외부 공격자가 일부 데이터를 몰래 보거나 바꿀 수 있는 보안 결함입니다. 공격이 어렵고 시스템 전체를 마비시키는 수준은 아니어서 위험도는 중간 정도입니다.
🇺🇸 원문 (English)
Vulnerability in Oracle Java SE (component: Compiler). Supported versions that are affected are Oracle Java SE: 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 27; Oracle GraalVM for JDK: 17.0.20.1 and 21.0.12.1; Oracle GraalVM Enterprise Edition: 21.3.19.1.1. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle Java SE accessible data as well as unauthorized read access to a subset of Oracle Java SE accessible data. Note: This vulnerability can only be exploited by supplying data to APIs in the specified Component without using Untrusted Java Web Start applications or Untrusted Java applets, such as through a web service. CVSS 3.1 Base Score 4.8 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N).
📍 영향받는 시스템
Oracle Java SE 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 27 및 Oracle GraalVM for JDK 17.0.20.1, 21.0.12.1, GraalVM Enterprise 21.3.19.1.1
⚔️ 공격 벡터
네트워크로 접근 가능한 공격자가 웹 서비스 등을 통해 취약한 Compiler API에 조작된 데이터를 전달하여 공격 (인증 불필요, 공격 복잡도 높음)
🛡️ 대응 방법
Oracle 공식 보안 패치가 적용된 최신 Java SE 버전으로 업데이트
🔧 검증 코드
출력된 버전이 위 영향받는 버전 목록에 포함되는지 확인하고, 해당된다면 Oracle 보안 패치가 적용된 최신 버전으로 업데이트가 필요합니다.
java -version 2>&1 | head -n 1
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition