Informatie over Kwetsbaarheden in Oracle Java

Overzicht

Oracle heeft verschillende kwetsbaarheden verholpen in Java SE en GraalVM, die potentieel misbruikt kunnen worden door kwaadwillenden. Het National Cyber Security Centrum (NCSC) heeft hierover een advies uitgebracht onder referentienummer NCSC-2024-0419.

Kenmerken van de Kwetsbaarheden

De kwetsbaarheden omvatten onder andere:

• Memory Allocation met Excessieve Grootte: Dit kan leiden tot geheugenproblemen en crashen van systemen.
• Heap-based Buffer Overflow: Kwaadwillenden kunnen hierdoor mogelijk hun eigen code uitvoeren.
• Integer Overflow of Wraparound: Programmeerfouten door nummeroverlopen.
• Signed to Unsigned Conversion Error: Fouten bij het converteren van gegevens kunnen leiden tot ongeauthoriseerde acties.
• Improper Neutralization van Speciale Elementen in Commando’s (Command Injection): Doorgebruik van speciale tekens kunnen ongewenste commando’s uitgevoerd worden.
• Improper Handling of Length Parameter Inconsistency: Dit kan leiden tot gegevensinbreuken.
• Use After Free: Gebruikt vrijgegeven geheugen, waardoor systemen onstabiel worden of kunnen worden misbruikt.

Omschrijving van de Impact

De impact van deze kwetsbaarheden kan leiden tot verschillende ernstige situaties:

• Denial-of-Service (DoS): Het niet beschikbaar maken van diensten.
• Manipulatie van Data: Ongeauthoriseerde toegang en wijziging van gegevens.
• Uitvoering van Willekeurige Code: Kwaadwillenden kunnen code uitvoeren met gebruikersrechten.
• Toegang tot Gevoelige Gegevens: Ongeauthoriseerde toegang tot confidentiële informatie.

Om deze aanvallen uit te voeren, moeten aanvallers de gebruiker misleiden om ongecontroleerde code te importeren en uit te voeren. Deze kwetsbaarheden zijn vooral bedreigend voor ontwikkelaars en gebruikers met machtigingen om dergelijke operaties uit te voeren.

Bereik en Aangetaste Versies

Er zijn meerdere Oracle-producten die door deze kwetsbaarheden aangetast worden, waaronder maar niet beperkt tot:

• Oracle Database Server
• Oracle GraalVM
• Oracle Java SE

Specifieke versies omvatten onder andere:

• GraalVM Enterprise Edition 21.3.11
• GraalVM voor JDK 17.0.12 en 21.0.4
• Java SE 11.0.24 en 17.0.12

Oplossingen

Oracle heeft updates vrijgegeven om deze kwetsbaarheden aan te pakken. Gebruikers en beheerders worden geadviseerd om deze updates zo spoedig mogelijk toe te passen. Meer informatie is beschikbaar in de officiële Oracle Security Alerts.

CVEs Geassocieerd met deze Kwetsbaarheden

Enkele van de relevante Common Vulnerabilities and Exposures (CVEs) zijn:

• CVE-2023-7104
• CVE-2023-42950
• CVE-2024-21208

Het gebruik van deze security advisory is gebonden aan voorwaarden. NCSC past uiterste zorgvuldigheid toe bij samenstelling van beveiligingsadviezen, maar garandeert geen volledigheid of accuratesse na publicatie. Het NCSC noch de Staat is aansprakelijk voor eventuele schade door adviesgebruik.

Het is belangrijk voor organisaties en ontwikkelaars om de veiligheid van hun systemen te waarborgen door de gepubliceerde updates en adviezen van Oracle toe te passen.

Een beveiligingsadvies wordt door het NCSC gepubliceerd naar aanleiding van een recent gevonden kwetsbaarheid of geconstateerde dreiging. In een beveiligingsadvies staat de beschrijving, de mogelijke gevolgen en mogelijke oplossingen van de kwetsbaarheid of dreiging.

Mitigerende maatregel beschikbaar op advisories.ncsc.nl

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----