Java 加密漏洞 PoC 代码公开，受影响的版本需尽快升级
据Security affairs网站消息，4月21日，安全研究人员Khaled Nassar在Github上公开了Java 中新披露的数字签名绕过漏洞的PoC代码，该漏洞被追踪为CVE-2022-21449（CVSS 分数：7.5）。
漏洞的影响范围主要涉及 Java SE 和 Oracle GraalVM 企业版的以下版本 ：
Oracle Java SE：7u331、8u321、11.0.14、17.0.2、18
Oracle GraalVM 企业版：20.3.5、21.3.1、22.0.0.2
该漏洞被称为 Psychic Signatures，与Java 对椭圆曲线数字签名算法 ( ECDSA )实现有关，这是一种加密机制，用于对消息和数据进行数字签名，以验证内容的真实性和完整性。但Psychic Signatures导致的加密错误，能够允许呈现一个易受攻击的完全空白的签名，攻击者可以此利用伪造签名并绕过身份验证措施。
Nassar 证明，设置恶意 TLS 服务器可以欺骗客户端接受来自服务器的无效签名，从而有效地允许 TLS 握手的其余部分继续进行。
据悉，漏洞在去年11月就由 ForgeRock 研究员 Neil Madden 发现，并于当天就通报给了甲骨文（Oracle），Madden表示，这个漏洞的严重性再怎么强调都不为过。
目前，甲骨文已在4月19日最新发布的4月补丁中修复了该漏洞，但由于PoC代码的公布，建议在其环境中使用 Java 15、Java 16、Java 17 或 Java 18 的系统组织尽快修复。
转自 FreeBuf，原文链接：https://www.freebuf.com/news/330953.html
封面来源于 *** ，如有侵权请联系删除
“Java 加密漏洞 PoC 代码公开，受影响的版本需尽快升级” 的相关文章
Microsoft Defender 导致 Windows 11 Build 22581 遇到视频播放问题
尽管未能赢得 AV-TEST 的最高防病毒（AV-Comparatives）等级评价，但 Microsoft Defender 仍是市面上最合适的产品之一。尴尬的是，在 Windows 11 Build 22581 编译版本中，许多人发现遇到了媒体播放问题。由 Reddit 网友的讨论可知，问题与系...
黑客称入侵了微软：拿到 Bing 和 Cortana 项目源代码
近日，据Reddit上的帖子和Cyber Kendra上的一份报告显示，LAPSUS$ (Lapsus) 组织入侵了微软的DevOps帐户，该组织此前入侵了NVIDIA和三星。 下面的截图由Lapsus发布，但很快被删除，由Cyber Kendra保存了下来。该组织声称可以访问微软的一些DevOps...
微软曝光 Nimbuspwn 漏洞组合 可在 Linux 本地提权部署恶意软件
近日名为 Nimbuspwn 的漏洞组合被曝光，可以让本地攻击者在 Linux 系统上提升权限，部署从后门到勒索软件等恶意软件。微软的安全研究人员在今天的一份报告中披露了这些问题，并指出它们可以被串联起来，在一个脆弱的系统上获得 root 权限。 Nimbuspwn 存在于 networkd-dis...
基于800个恶意 NPM 包的大规模供应链攻击
Hackernews 编译，转载请注明出处： 一个名为“RED-LILI”的攻击者发布了近800个恶意模块，与正在进行的针对 NPM 软件包库的大规模供应链攻击活动联系紧密。 以色列安全公司 Checkmarx 说: “通常，攻击者使用一个匿名的一次性 NPM 帐户发动攻击。”“这一次，攻击...
惠普解决了 16 个影响笔记本电脑、台式机、PoS 系统的 UEFI 固件缺陷
近期，网络安全公司Binarly研究人员发现16个影响惠普企业设备的统一可扩展固件接口高危漏洞。攻击者可以利用这些漏洞植入固件，使其能够在操作系统更新后继续存在并绕过 UEFI安全启动、Intel Boot Guard和基于虚拟化的安全性。受影响的设备包括多个惠普企业设备，如笔记本电脑、...
微软 Windows 受到 Hafnium 恶意软件 “Tarrask” 的集团化攻击
对微软Exchange服务器造成严重破坏的臭名昭著的Hafnium黑客组织回来了。但这一次，微软清楚地知道这个国家支持的威胁行为者团体的活动意图，该组织正在利用”Tarrask”恶意软件来瞄准并不断削弱Windows操作系统的防御能力。 微软检测和响应小组（DART）在一篇博文中解释说，Hafni...
发表评论
