CVE-2026-22003

Résumé

Vulnérabilité dans Oracle Java SE, produit Oracle GraalVM Enterprise Edition d'Oracle Java SE (composant : Hotspot). Les versions prises en charge qui sont affectées sont Oracle Java SE : 8u481 et 8u481-b50 ; Oracle GraalVM Enterprise Edition : 21.3.17. Vulnérabilité difficile à exploiter permettant à un attaquant faiblement privilégié disposant d'un accès par connexion à l'infrastructure où s'exécutent Oracle Java SE, Oracle GraalVM Enterprise Edition de compromettre Oracle Java SE, Oracle GraalVM Enterprise Edition. Des attaques réussies nécessitent une interaction humaine d'une personne autre que l'attaquant. Les attaques réussies de cette vulnérabilité peuvent entraîner une création, une suppression ou une modification non autorisée de l'accès à des données critiques ou à toutes les données accessibles d'Oracle Java SE, Oracle GraalVM Enterprise Edition, ainsi qu'une capacité non autorisée à provoquer un blocage ou un plantage fréquemment répétitif (DOS complet) d'Oracle Java SE, Oracle GraalVM Enterprise Edition. Remarque : Cette vulnérabilité s'applique aux déploiements Java, généralement dans les clients exécutant des applications Java Web Start en bac à sable ou des applets Java en bac à sable, qui chargent et exécutent du code non fiable (par exemple, du code provenant d'Internet) et qui s'appuient sur le bac à sable Java pour la sécurité. Cette vulnérabilité ne s'applique pas aux déploiements Java, généralement dans les serveurs, qui chargent et exécutent uniquement du code fiable (par exemple, du code installé par un administrateur). Score de base CVSS 3.1 : 6,0 (impacts sur l'intégrité et la disponibilité). Vecteur CVSS : (CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:U/C:N/I:H/A:H).

• CVE-2026-22003-Redis-Lua-Sandbox-Escape-via-debug.sethook-PoC

  Exploit de preuve de concept pour CVE-2026-22003 démontrant une évasion du sandbox Lua de Redis via debug.sethook pour exécuter des commandes système arbitraires.