CVE-2017-10309

Резюме

Уязвимость в компоненте Java SE продукта Oracle Java SE (подкомпонент: Deployment). Затронуты поддерживаемые версии Java SE: 8u144 и 9. Легко эксплуатируемая уязвимость позволяет неаутентифицированному злоумышленнику при сетевом доступе через множественные протоколы скомпрометировать Java SE. Успешные атаки требуют участия человека, отличного от злоумышленника, и, хотя уязвимость находится в Java SE, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки на эту уязвимость могут привести к несанкционированному обновлению, вставке или удалению доступа к некоторым данным, доступным в Java SE, а также к несанкционированному чтению подмножества данных, доступных в Java SE, и несанкционированной возможности вызвать частичный отказ в обслуживании (partial DoS) Java SE. Примечание: Эта уязвимость применима к развертываниям Java, как правило, в клиентах, запускающих изолированные приложения Java Web Start или изолированные апплеты Java, которые загружают и выполняют недоверенный код (например, код, поступающий из Интернета), и полагаются на песочницу Java для обеспечения безопасности. Эта уязвимость не применима к развертываниям Java, как правило, на серверах, которые загружают и выполняют только доверенный код (например, код, установленный администратором). Базовый балл CVSS 3.0: 7.1 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L).

• Oracle Java SE - Web Start jnlp XML External Entity Processing Information DisclosureЭксплойт

  mr_me · xml · 30 окт. 2017 г.