CVE-2026-22013

概要

Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition製品（Oracle Java SEのコンポーネント: JGSS）における脆弱性。影響を受けるサポート対象バージョンは、Oracle Java SE: 8u481、8u481-b50、8u481-perf、11.0.30、17.0.18、21.0.10、25.0.2、26、Oracle GraalVM for JDK: 17.0.18および21.0.10、Oracle GraalVM Enterprise Edition: 21.3.17です。悪用が困難な脆弱性により、ネットワークアクセスを持つ認証されていない攻撃者が複数のプロトコルを介してOracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editionを侵害する可能性があります。攻撃を成功させるには、攻撃者以外の人物によるユーザー操作が必要です。この脆弱性に対する攻撃が成功すると、重要なデータへの不正アクセス、またはOracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editionのアクセス可能な全データへの完全なアクセスが可能になる可能性があります。注: この脆弱性は、通常はサンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行するクライアントにおいて、信頼されないコード（例: インターネットから取得したコード）をロードして実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントに適用されます。この脆弱性は、通常はサーバーにおいて、信頼されたコード（例: 管理者がインストールしたコード）のみをロードして実行するJavaデプロイメントには適用されません。CVSS 3.1ベーススコア 5.3（機密性への影響）。CVSSベクター: (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N)。

• CVE-2026-22013-Hardware-Wallet-USB-Descriptor-Buffer-OverflowPoC

  ハードウェアウォレットのUSBディスクリプターパーサー（CVE-2026-22013）に対するスタックバッファオーバーフローのPoCで、過大なGET_DESCRIPTORペイロードによる戻りアドレスの上書きとコード実行を示します。