登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们
docurl=/cn/Products___Technology/Products/IP_Security/Security_Research/Home/Notice/Notice/202207/1644556_30003_0.htm

Oracle Java SE 输入验证错误漏洞通告(CVE-2022-21449)POC已公布

【发布时间：2022-07-06】

漏洞综述

漏洞背景

Oracle Java SE是美国甲骨文（Oracle）公司的一款用于开发和部署桌面、服务器以及嵌入设备和实时环境中的Java应用程序。近日，新华三攻防实验室威胁预警团队监测到Oracle官方发布了4月的安全更新公告，其中Oracle Java SE输入验证错误漏洞(CVE-2022-21449)的利用细节已被公开。由于该漏洞利用方式简单，影响范围较大，请受影响用户尽快安装更新补丁，以免受到影响。

漏洞原理

该漏洞是由于Oracle官方在最近Java版本中对ECDSA算法的代码进行了重写，重写后的ECDSA签名算法没有检查r和s为0的情况，导致Java SE在使用自带的ECDSA算法进行签名校验时被绕过。成功利用该漏洞的恶意攻击者能够拦截（读取和更改）加密通信，在某些情况下还可以绕过身份验证。

漏洞复现

使用受影响版本Java SE搭建网站，分别发送不带签名的JWT令牌和带有错误签名的JWT令牌，访问网站失败：

图片

发送带有特殊签名的JWT令牌，访问成功：

图片

影响范围

Oracle Java SE: 17.0.2, 18

Oracle GraalVM Enterprise Edition: 21.3.1, 22.0.0.2

漏洞等级：高危

处置方法

官方补丁

目前官方发布更新补丁，请受影响用户及时关注并尽快更新，官方链接：https://www.oracle.com/security-alerts/cpuapr2022.html

新华三解决方案

1、新华三安全设备防护方案

新华三IPS规则库将在1.0.180版本支持对该漏洞的识别，H3C全系安全产品可通过升级IPS特征库识别该漏洞的攻击流量，并进行主动拦截。

2、态势感知产品解决方案

新华三态势感知产品已支持该漏洞的检测，通过信息搜集整合、数据关联分析等综合研判手段，发现网络中遭受该漏洞攻击及失陷的资产。

3、新华三云安全能力中心解决方案

新华三云安全能力中心知识库已更新该漏洞信息，可查询对应漏洞产生原理、升级补丁、修复措施等。

参考链接

https://www.oracle.com/security-alerts/cpuapr2022.html


新华三官网
联系我们