Oracle Java SE és GraalVM JSSE-hibája lehetővé teszi hitelesítés nélküli támadók számára az adatok olvasását és módosítását (CVE-2026-114820)

Mi történt

Az Oracle a CVE-2026-114820 azonosítójú sérülékenységet könnyen kihasználhatóként írja le az Oracle Java SE és a GraalVM JSSE-összetevőjében. Hitelesítés nélküli támadó több protokollon keresztül, a hálózaton át, felhasználói közreműködés nélkül érheti el. Sikeres támadás esetén a támadó kritikus adatokat olvashat, vagy teljes hozzáférést szerezhet az érintett Java-futtatókörnyezet számára elérhető összes adathoz, valamint ezeket az adatokat létrehozhatja, törölheti vagy módosíthatja. A CVSS 3.1-pontszám 9,1 (kritikus), magas bizalmassági és integritási hatással, rendelkezésre állási hatás nélkül.

A sérülékenység a JSSE-összetevő API-jain keresztül használható ki, például olyan webszolgáltatáson keresztül, amely adatokat szolgáltat ezeknek az API-knak. Az Oracle azt is megjegyzi, hogy a probléma azokra a Java-telepítésekre vonatkozik, amelyek nem megbízható kódot töltenek be és futtatnak sandboxban futó Java Web Start-alkalmazásokban vagy sandboxban futó Java-appletekben. A CVE-bejegyzés nem utal vadon történő kihasználásra vagy nyilvános közzétételre, és a CISA KEV-katalógusa sem tartalmazza ezt a CVE-t.

Kit érint

Az Oracle az alábbi buildeket sorolja fel érintettként:

• Oracle Java SE: 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2
• Oracle GraalVM for JDK: 17.0.21.0.2 és 21.0.13.0.2
• Oracle GraalVM Enterprise Edition: 21.3.20.0.2

A Java széles körben használatos szervereken, köztes szoftverekben, asztali kliensekben és beágyazott futtatókörnyezetekben, ezért a fő feladat ezen buildek minden telepítésének felkutatása. A kitettség különösen ott jelentős, ahol a Java-alkalmazások hálózaton keresztül érhetők el, vagy ahol nem megbízható kód töltődik be sandboxba.

Mit kell most tenni

1. Telepítse az Oracle javítását. Az Oracle kiadta a Security Alert CVE-2026-114820 jelű biztonsági közleményt, és közli, hogy a javítások elérhetők. A CVE-bejegyzés nem sorolja fel a javított buildszámokat, ezért az Oracle közleményében ellenőrizze az Ön Java-verziójához tartozó javított kiadást.
2. Az Oracle közleménye nem dokumentál kerülő megoldást. A biztonsági javítások telepítését tekintse elsődleges intézkedésnek.
3. Ha a javítás azonnali telepítése nem lehetséges, helyezze előtérbe az érintett Java-buildek számbavételét, és korlátozza a JSSE API-kat használó szolgáltatások hálózati elérését, különösen, ha azok az internet felől is elérhetők.
4. Ellenőrizze újra azokat a gyártói termékeket is, amelyek Oracle Java-t vagy GraalVM-et tartalmaznak; ezek saját frissítést igényelhetnek.

Hogyan észlelhető

Az Oracle nem tett közzé ehhez a CVE-hez kapcsolódó konkrét kompromittálódásra utaló jeleket. A biztonsági javítás telepítése közben vizsgálja át a naplókat a JSSE-t használó Java-szolgáltatások váratlan elérése, valamint az e szolgáltatások által kezelt érzékeny adatok módosításai szempontjából; ugyanakkor nem állnak rendelkezésre olyan gyártói észlelési szignatúrák, amelyekre támaszkodhatna.

A javításon túl

A hálózati eléréssel és magas integritási hatással járó Java-sérülékenységek ritkán korlátozódnak egyetlen alkalmazásra; ugyanaz a futtatókörnyezet gyakran be van építve gyártói termékekbe és belső szolgáltatásokba, ezért a valódi feladat annak feltérképezése, hogy ezek a buildek hol futnak, és melyek érhetők el hitelesítés nélkül. A Virtuális CISO szolgáltatás segít feltérképezni a kitett Java-szolgáltatásokat és csökkenteni ezt a támadási felületet, míg az Ellátási lánc védelem és harmadik fél kockázat segít nyomon követni, hogy mely beszállítók használnak még érintett futtatókörnyezeteket, és hogy a javítási ciklusaik hogyan határozzák meg az Ön kitettségi időablakát.