CVE-2017-10309

ملخص

ثغرة أمنية في مكوّن Java SE من Oracle Java SE (المكوّن الفرعي: Deployment). الإصدارات المدعومة المتأثرة هي Java SE: 8u144 و9. ثغرة قابلة للاستغلال بسهولة تسمح لمهاجم غير مصادق عليه مع وصول إلى الشبكة عبر بروتوكولات متعددة باختراق Java SE. تتطلب الهجمات الناجحة تفاعلًا بشريًا من شخص آخر غير المهاجم، وبينما تكون الثغرة في Java SE، قد تؤثر الهجمات بشكل كبير على منتجات إضافية. يمكن أن تؤدي الهجمات الناجحة لهذه الثغرة إلى تحديث أو إدراج أو حذف غير مصرح به لبعض البيانات التي يمكن الوصول إليها في Java SE، بالإضافة إلى وصول قراءة غير مصرح به إلى مجموعة فرعية من البيانات التي يمكن الوصول إليها في Java SE، وقدرة غير مصرح بها على التسبب في حرمان جزئي من الخدمة (partial DOS) لـ Java SE. ملاحظة: تنطبق هذه الثغرة على نشرات Java، عادةً في العملاء الذين يشغّلون تطبيقات Java Web Start المعزولة أو برمجيات Java الصغيرة (applets) المعزولة، التي تحمّل وتشغّل كودًا غير موثوق (مثل الكود القادم من الإنترنت) وتعتمد على بيئة Java العازلة (sandbox) للأمان. لا تنطبق هذه الثغرة على نشرات Java، عادةً في الخوادم، التي تحمّل وتشغّل فقط كودًا موثوقًا (مثل الكود المثبّت من قبل مسؤول). درجة CVSS 3.0 الأساسية 7.1 (تأثيرات على السرية والنزاهة والتوافر). متجه CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L).

• Oracle Java SE - Web Start jnlp XML External Entity Processing Information Disclosureاستغلال

  mr_me · xml · 30‏/10‏/2017