Java memiliki 9,1 celah yang terpisah, CVE-2026-91403, tapi aku melihat sekitar buletin Oracle dan menemukan dua lubang besar.
Pertama, kesimpulannya adalah:CVE-2026-91403 adalah benar, CVSS 3.1 mengalahkan 9.1, dan memang serius. Tapi itu tidak dalam buletin CPU musim ini, dan tidak ada "coding" dalam 9,1 menit.Jika Anda tidak mendapatkan semuanya tahu, Anda akan mendapatkan irama dan urutan yang salah.
Lubang ini dilewati oleh Oracle pada 21 Oktober 2026. Peringatan Keamanan Single- menunjuk, bukan satu dari Quarterly Patch Update. Komponen JSSE 8u511, 11.0.33, 17.0.21, 1,01,13, 25.0.5, 27.0.1, ditambah GraalVM untuk JDK 172.02.13 dan GraalVM EE 21.3.20.
Dan saya ingin menunjukkan, dengan judul, bahwa saya akan pergi ke sistem buletin Oracle dan menemukan dua lubang layak menulis lebih dari lubang itu sendiri. Karena dua lubang ini bukan masalahnya.Semua tim bekerja pada Quarterly Sweeper Bulletin akan melangkah di atasnya.Ya.
Ini bukan di CPU kuartal ini.
Ini adalah yang paling antiintuitif. Banyak orang (termasuk saya sebulan yang lalu) memiliki standar pada irama keamanan Oracle:
Tapi pengumuman publik Oracle sebenarnya tiga kolam:
- Tambahan Patch Katholik (CPU)- Quarterly batch, semua bersama-sama.
- Peringatan Keamanan- Titik-titik penting, tidak terintegrasi ke dalam ritme triwulanan, CVE mungkin membuka satu halaman.
- Creative Security Patch Update- Sebuah patch antara keduanya.
CVE - 2026- 91403.Kedua kolam renang.Aku tidak tahu. Saya membaca teks lengkap buletin CPU -- 1295 patch baru, yang Java SE adalah 55, 49 dapat digunakan dari jarak jauh tanpa otorisasi --Pencarian teks penuh CVE-2026-91403, 0 hits.
Apa artinya? Jika aliran asetmu adalah daftar CPU triwulanan, mengarah ke jalan keluar, menjadwalkan perbaikan, itu jalan keluar.Tidak pernah ada dalam daftarmu.Aku tidak tahu. Ini tidak hilang, itu pipa yang tidak mencakup sumber data.
Dan Oracle menambahkan bagian khusus ke Keamanan Alert untuk efek bahwa patch Peringatan KeamananHanya sampul versi dalam Dukungan Premier atau Tahap Dukungan Tambahan, versi yang tidak dalam siklus dukungan tidak akan diuji. Terjemahan adalah - jangan datang mencari saya dalam versi lama.
By the way, dua versi tabel tidak up.
Lubang ini ditemukan selama penyelidikan, dan bahkan lebih mengkhawatirkan.
Dalam irama Oktober yang sama, Java SE muncul dengan dua versi yang sama sekali berbeda: CPU, terdiri dari 8u503, 11.32.1, 17.0.20.1, 1.01,12,12,04.4, 6.2, 27 Peringatan Keamanan, 8.511, 11.0.33, 17.0.0.21, 1.01,3, 25.0.0.5, 27.0.1.
Ini bukan kesalahan. Ini adalah dua update yang berbeda. Aku berpikir, "Aku sudah selesai dengan CPU kuartal ini", dan itu bukan versi yang sama.Yang paling berbahaya dari keadaan ini bukanlah tidak adanya tambalan, tetapi fakta bahwa mereka dibuat aman.
Pit II: 9.1 menit, tapi tidak RCE
Hal ini lebih halus dan lebih mudah untuk melewatkan judul.
CVE- 2026- 91403 vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NBuka.
| Dimensi | Ambil Nilai | Artinya |
|---|---|---|
| Vektor Serangan AV | N (Jaringan) | Akses jarak jauh |
| Kompleks serangan AC | L (rendah) | Tidak perlu untuk beberapa syarat. |
| Izin PR Diperlukan | N (none) | Anda dapat mulai tanpa otentikasi. |
| Pengguna UI Interaktif | N (none) | Anda tidak perlu berbohong kepada siapa pun tentang link. |
| S Scope of Action | U (Tidak ada perubahan) | Dampak terbatas pada domain aman sendiri |
| C Rahasia | tinggi | Akses data kunci |
| Saya Integritas | tinggi | Data kunci dapat dibuat / dihapus / diubah |
| Sebuah ketersediaan | N (none) | Oracle tidak menunjukkan efek gangguan dari layanan. |
Baris terakhir adalah kuncinya.Tidak ada.
Deskripsi asli Oracle adalah untuk penciptaan, penghapusan, atau modifikasi hak akses, ditambah akses tidak sah ke data kunci.Pengecualian kode remote kata tidak muncul di seluruh.
Ini bukan bahasa gaul. 9.1 Intinya adalah C: H + I: H mengangkat - dapat dibaca, dimodifikasi, destruktif. Tapi "bisa membaca perubahan" dan "bisa menegakkan kode apapun". Ada dua hal yang harus ditangani: mantan sering berarti bahwa permukaan data adalah menembus, dan yang terakhir berarti bahwa seluruh mesin bergeser. Anda peringkat mereka dalam pecahan, dan Anda peringkat mereka semantik.
Oracle bilang lubangnya.Hal ini dapat mempengaruhi penyebaran Java yang dimuat dan menjalankan kode yang tidak dapat dipercaya.Adegan yang khas adalah aplikasi Java Web Start dan aplet dalam kotak pasir, di bawah kotak pasir Java. Ini adalah adegan langka sekarang, tetapi jika Anda memilikinya dalam sistem lama Anda, itu hal lain karena sifat kotak pasir berubah setelah itu dikenakan.
Ditambah, kalibrasi lubang: Oracle jelas mengatakan skor CVSS nyaAsumsikan bahwa pengguna menjalankan aplet atau WebStart memiliki hak administrator(Windows umum) Ketika pengguna bukan administrator (umum di Solaris, Linux), skor dampak untuk kerahasiaan, integritas dan kegunaan berkurang dari Tinggi ke Rendah, diikuti dengan persentase besar dari benchmark tersebut.CVE yang sama bisa sangat berbeda pada platform yang berbeda.
Tiga, satu lubang, tiga lapisan.
Dua lubang sebenarnya menunjuk ke masalah metodologis yang sama:Kita semua diurutkan dalam pecahan, tapi tidak ada yang istirahat semantik dan sumber.
Tingkat pertama: sistem buletin - di mana kolam itu pergi
Ini menentukan apakah pipa otomatis Anda bisa mendapatkannya. CPU, Security Alert, CSPU adalah tiga saluran yang berbeda, dengan ritme yang berbeda, cakupan dan bahkan struktur URL. Hanya proses CPU, alami hilang semua titik darurat tunggal.
Cara paling tidak nyaman untuk melakukan itu adalah untuk mendapatkan produsen.CVE ke peta buletinAnggap saja satu-satunya pintu masuk, bukan pengumuman khusus. Oracle menyediakan Peta CVE sendiri untuk Penasehat / Peringatan, yang lebih dapat diandalkan daripada setiap halaman CPU.
Tingkat kedua: semantik peringkat - 9.1 - yang merupakan poin?
CVSS adalah jumlah dekomposisi, bukan peringkat. C: H / I: H / A: N 9.1 dan C: H / I: H / A: H: H: H, 9.1, prioritas pembuangan harus berbeda - mantan adalah "data dirusak" dan yang terakhir menjadi "layanan digantung" ditambah dua yang pertama.
Lebih praktis:Hal ini berguna untuk melihat vektor atas poin.AC: L + PR: N + UI: N, diambil bersama-sama, berarti bahwa wajah serangan benar-benar terbuka, tanpa prekondisi apapun. Bahkan dengan skor tujuh, lubang ini jauh lebih mungkin digunakan daripada sembilan poin yang terkait.
Tingkat 3: rantai Supply - konstruksi siapa itu?
Oracle JDK hanya salah satu dari mereka. Anda mungkin bekerja online dengan pembangun distribusi OpenJDK, JDK kustom untuk produsen awan, atau pembangun pihak ketiga yang dikemas dalam cermin kontainer.CVE perbaikan tidak tetap, tergantung pada apakah vendor itu tidak menempatkan patch hulu di, dan Oracle patch berbulu adalah dua hal.
Jadi jangan lihat pengumuman Oracle dan lihat versi Oracle JDK-nya -- cari tahu siapa kau sebenarnya. Ini tidak bekerja. Tak ada gunanya.
Apa yang harus kita lakukan?
- Konfirmasi versi pertama.Lari!
java -version, bandingkan meja di atas. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 Ini terpengaruh dan tidak dikembalikan versi. - Jangan berlangganan hanya untuk CPU.Integrasikan peringatan keamanan dan CSPU ke dalam pengawasan, menggunakan peta CVE-to-Advisory sebagai entri dan tidak mengandalkan satu halaman.
- Buka vektor dan semacam itu.Setidaknya keluarkan item A (ketersediaan) dan jangan ganti kata "9.1" dengan kata "9.1".
- Lihat ini, penjual.Itulah jalan nyata untuk memperbaiki.
- Jangan mengandalkan tindakan mitigasi.Dalam pengumuman ini, Oracle tidak memberikannya pada dunia, dan pernyataan kredit ditulis oleh Noon Credite -- baik oleh siapa yang melakukannya, maupun dengan bypass. Hanya ada satu cara untuk memperbaikinya.
Ada hal lain yang berkaitan dengan manajemen:Simpan kata "jenis publisitas" sebagai bidang.CPU dan Peringatan Keamanan seharusnya berbeda dalam menanggapi SLA - mantan dapat melalui jendela triwulanan dan yang terakhir mengikuti proses darurat. Dalam jam tangan, keadaan darurat tertunda sampai akhir musim.
Kontes ke-2.
Jangkauan ini sendiri, 9,1 poin, tidak sah, dapat jaringan, tidak interaktif, dapat dibaca - itu harus diperbaiki dan diprioritaskan.
Tapi apa yang membawa saya bukan celah itu sendiri, tapi itu...Bagaimana itu bisa hilang dari pandanganku?: sebuah patch darurat tidak termasuk dalam buletin triwulanan, sebuah nomor versi yang tidak cocok, sebuah titik 9.1 tanpa RCE. Ketiga hal yang terjadi dalam isolasi tidak fatal, dan mereka datang bersama-sama dan mereka seperti, "Saya pikir saya sudah selesai, tapi saya tidak melihat mereka".
Lubang itu tidak mengerikan, itu mengerikan bahwa Anda tidak memiliki tempat dalam proses Anda.
By the way, mengambil catatan data dan membuatnya lebih mudah bagi Anda untuk memeriksa sendiri: selama kuartal, CPU memiliki total dari 1295 baru patch, Java SE dihitung untuk 55, 49 yang jauh tidak sah; CVE-2026-91403 pergi Keamanan Peringatan, 21 Oktober 2026, Rev 1, yang hanya meliputi Java SE sebagai baris produk.
Berikut link:Oracle Security Alert - CVE - 2026- 91403Aku tidak tahu. Jika Anda ingin melihat teks risk--by- matriks risiko, ada link pada halaman buletin.