Oracle Java SE és GraalVM JSSE-hiba hitelesítés nélküli támadóknak adatok olvasását és módosítását teszi lehetővé (CVE-2026-91403)

Mi történt

A sérülékenység az Oracle Java SE és a GraalVM JSSE-összetevőjében található. A CVSS-vektor szerint a hibát hitelesítés nélküli támadó, hálózaton keresztül, alacsony komplexitás mellett használhatja ki; ehhez nincs szükség jogosultságra és felhasználói beavatkozásra sem. A sikeres támadás kritikus adatokat hozhat létre, törölhet vagy módosíthat, valamint jogosulatlan olvasási hozzáférést biztosíthat kritikus vagy teljes adatokhoz. A rendelkezésre állást nem érinti. A hibát a JSSE API-kon keresztül lehet kiváltani, például olyan webszolgáltatáson keresztül, amely adatokat szolgáltat ezeknek az API-knak.

Az Oracle a hibát kritikusnak minősíti; a CVSS 3.1 alappontszáma 9.1. A CVE-bejegyzés nem tartalmaz ismert, valós környezetben történő kihasználásra vagy nyilvános közzétételre vonatkozó adatot.

Kit érint

Az Oracle pontosan az alábbi buildeket jelöli meg érintettként:

• Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1
• Oracle GraalVM for JDK: 17.0.21, 21.0.13
• Oracle GraalVM Enterprise Edition: 21.3.20

A sérülékenység azokra a Java-telepítésekre is vonatkozik, amelyek nem megbízható kódot töltenek be és futtatnak, például homokozóban futó Java Web Start-alkalmazásokra vagy appletekre; a hiba olyan webszolgáltatáson keresztül is elérhető, amely adatokat szolgáltat a JSSE API-knak.

Mit kell most tenni

1. Mérje fel, hogy a felsorolt Oracle Java SE, GraalVM for JDK és GraalVM Enterprise Edition buildek közül melyek futnak Önöknél, beleértve a szállítói termékekbe vagy alkalmazáskiszolgálókba beágyazott példányokat is.
2. Telepítse az Oracle javítását ehhez a riasztáshoz. Ezen az oldalon nem szerepelnek konkrét javított verziószámok; a környezetéhez tartozó javított buildeket az Oracle Security Alert Advisory CVE-2026-91403 jelű biztonsági közleményben, a https://www.oracle.com/security-alerts/alert-cve-2026-91403.html címen találja.
3. Ha a javítás telepítése nem végezhető el azonnal, a frissítés telepítéséig korlátozza a JSSE-t használó Java-szolgáltatások vagy webszolgáltatás-végpontok hálózati elérését.
4. Ellenőrizze újra a riasztást a homokozóban futó Java Web Start- vagy Java-applet kódútvonalakra is, mert ezek a telepítések is érintettek.

A javításon túl

Mivel a hiba hitelesítő adatok nélkül, hálózaton keresztül érhető el, az internet felől elérhető Java-szolgáltatás már a kihasználási kísérletek előtt is mérhető kitettséget jelent. A Virtuális CISO szolgáltatás (vCISO) segíthet azonosítani és rangsorolni ezt a kitettséget. A Java-futtatókörnyezetek emellett gyakran szállítói termékek részeként kerülnek be a környezetbe, és ezek javítási ciklusa gyakran éppen a szervezet kitettségének időablakát jelenti; az Ellátási lánc védelem és harmadik féltől származó kockázatok segít nyomon követni, hogy mely Java-összetevőkre támaszkodik a szervezet, és milyen gyorsan javítják azokat a szállítók.