CVE-2022-21449

ملخص

ثغرة أمنية في منتج Oracle Java SE وOracle GraalVM Enterprise Edition من Oracle Java SE (المكوّن: Libraries). الإصدارات المدعومة المتأثرة هي: Oracle Java SE: 17.0.2 و18؛ Oracle GraalVM Enterprise Edition: 21.3.1 و22.0.0.2. تسمح هذه الثغرة، التي يسهل استغلالها، لمهاجم غير مصادق عليه يملك وصولاً إلى الشبكة عبر بروتوكولات متعددة بالمساس بـ Oracle Java SE وOracle GraalVM Enterprise Edition. يمكن أن تؤدي الهجمات الناجحة على هذه الثغرة إلى إنشاء أو حذف أو تعديل غير مصرح به للوصول إلى بيانات حرجة أو إلى جميع البيانات التي يمكن الوصول إليها في Oracle Java SE وOracle GraalVM Enterprise Edition. ملاحظة: تنطبق هذه الثغرة على عمليات نشر Java، عادةً في العملاء الذين يشغّلون تطبيقات Java Web Start المعزولة (sandboxed) أو تطبيقات Java الصغيرة (applets) المعزولة، والتي تقوم بتحميل وتشغيل كود غير موثوق (مثل كود قادم من الإنترنت) وتعتمد على بيئة Java العازلة (Java sandbox) للأمان. يمكن أيضًا استغلال هذه الثغرة باستخدام واجهات برمجة التطبيقات (APIs) في المكوّن المحدد، على سبيل المثال عبر خدمة ويب تزوّد البيانات لواجهات برمجة التطبيقات. درجة CVSS 3.1 الأساسية: 7.5 (تأثيرات على السلامة). ناقل CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N).

• CVE-2022-21449PoC

  مستودع يُظهر توليد 'التوقيعات النفسية لجافا' منفذ في بيئة nodejs 😅

• CVE-2022-21449-vuln-testالكشف

  أداة اختبار مبنية على Java لثغرة التحقق من التوقيعات ECDSA CVE-2022-21449. تفحص JVM بحثًا عن خلل التوقيعات النفسية (Psychic Signatures) وتُبلغ عن حالة الثغرة أو التصحيح.