Java 加密漏洞 PoC 代码公开，受影响的版本需尽快升级
据Security affairs网站消息，4月21日，安全研究人员Khaled Nassar在Github上公开了Java 中新披露的数字签名绕过漏洞的PoC代码，该漏洞被追踪为CVE-2022-21449（CVSS 分数：7.5）。
漏洞的影响范围主要涉及 Java SE 和 Oracle GraalVM 企业版的以下版本 ：
Oracle Java SE：7u331、8u321、11.0.14、17.0.2、18
Oracle GraalVM 企业版：20.3.5、21.3.1、22.0.0.2
该漏洞被称为 Psychic Signatures，与Java 对椭圆曲线数字签名算法 ( ECDSA )实现有关，这是一种加密机制，用于对消息和数据进行数字签名，以验证内容的真实性和完整性。但Psychic Signatures导致的加密错误，能够允许呈现一个易受攻击的完全空白的签名，攻击者可以此利用伪造签名并绕过身份验证措施。
Nassar 证明，设置恶意 TLS 服务器可以欺骗客户端接受来自服务器的无效签名，从而有效地允许 TLS 握手的其余部分继续进行。
据悉，漏洞在去年11月就由 ForgeRock 研究员 Neil Madden 发现，并于当天就通报给了甲骨文（Oracle），Madden表示，这个漏洞的严重性再怎么强调都不为过。
目前，甲骨文已在4月19日最新发布的4月补丁中修复了该漏洞，但由于PoC代码的公布，建议在其环境中使用 Java 15、Java 16、Java 17 或 Java 18 的系统组织尽快修复。
转自 FreeBuf，原文链接：https://www.freebuf.com/news/330953.html
封面来源于 *** ，如有侵权请联系删除
“Java 加密漏洞 PoC 代码公开，受影响的版本需尽快升级” 的相关文章
Microsoft Defender 出现严重误报：自家 Office 更新被检测为勒索软件
Microsoft Defender for Endpoint 今天出现了非常严重的误报事件，竟然将自家的 Office 应用程序更新 OfficeSvcMgr.exe 检测为勒索软件。今天早些时候，系统管理员在更新 Microsoft Defender for Endpoint 时注意到了恶意程...
研究人员发现针对乌克兰的第 3 款擦除恶意软件
研究人员近日发现了针对乌克兰计算机的新型擦除恶意软件（以破坏关键文件和数据为目的），这是俄乌冲突以来发现的第 3 款擦除恶意软件。 这种被称为 CaddyWiper 的恶意软件是由总部位于斯洛伐克的网络安全公司 ESET 的研究人员发现的，他们在周一发布的推文中分享了细节。 据研究人员称，该...
微软曝光 Nimbuspwn 漏洞组合 可在 Linux 本地提权部署恶意软件
近日名为 Nimbuspwn 的漏洞组合被曝光，可以让本地攻击者在 Linux 系统上提升权限，部署从后门到勒索软件等恶意软件。微软的安全研究人员在今天的一份报告中披露了这些问题，并指出它们可以被串联起来，在一个脆弱的系统上获得 root 权限。 Nimbuspwn 存在于 networkd-dis...
卡巴斯基发布“阎罗王”勒索软件的免费解密工具
虽然这家俄罗斯安全公司近几个月来已经失宠，但卡巴斯基宣布它已经成功破解了Yanluowang勒索软件（没错，它真的叫阎罗王，字面上Yanluowang。）这一充满了东方文化气息的恶意软件是去年由赛门铁克公司首次发现的，现在，卡巴斯基已经发现了它使用的加密算法中的一个漏洞。这使得该公司能够开发一个免费...
7-Zip 被爆零日安全漏洞：可提权执行代码 但用户可简单操作使其失效
文件压缩软件 7-Zip 被爆零日安全漏洞，允许攻击者提权并执行任意代码。目前开发团队并未发布补丁，但普通用户可以通过简单操作来让这个漏洞失效。上周，研究人员 Kağan Çapar 发现并公布了 7-Zip 的一个零日漏洞，该漏洞可以授予权限升级和命令执行。 它被命名为 CVE-2022-290...
微软警告 NOBELIUM 攻击技术愈加泛滥 谨防 HTML 代码夹带恶意软件
早在 5 月，微软就认定有俄罗斯背景的 NOBELIUM 黑客组织要对持续数月的 SolarWinds 网络攻击事件负责，并同企业、政府和执法机构达成了合作，以遏制此类网络攻击的负面影响。早些时候，微软更进一步地剖析了 NOBELIUM 使用的一套更加复杂的恶意软件传送方法。可知其用于造成破坏，并获...
发表评论
