Java에는 9.1 분할 루프홀, CVE-2026-91403, 그러나 나는 Oracle Bulletin을 둘러 보았고 두 개의 큰 구멍을 발견했습니다.
첫째, 결론은 다음과 같다:CVE-2026-91403는 사실, CVSS 3.1는 9.1를 이기고, 실제로 심각합니다. 그러나 이번 시즌의 CPU 게시판에 있지 않고 9.1 분 안에 "코딩"이 없습니다.당신이 그것을 얻을하지 않는 경우, 당신은 리듬을 얻을 것이다, 잘못된 순서.
이 구멍은 10 월 21, 2026에서 Oracle에 의해 통과했습니다. 보안 경고 단일 지점, 분기 패치 업데이트 중 하나가 아닙니다. 구성 요소는 JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, JDK 17.02.13 및 GraalVM EE 21.3.20에 대한 GraalVM 플러스입니다.
그리고 나는 제목에 의해 지적하고 싶습니다, 나는 오라클의 신화 시스템을 넘어 가고 구멍 자체보다 더 많은 것을 쓰는 2개의 구덩이를 찾아. 이 두 개의 pits는 문제가되지 않기 때문에.분기 Sweeper Bulletin에서 일하는 모든 팀은 그것을 단계로합니다.예.
I. Pit One: 이 분기에 CPU가 없습니다.
이것은 가장 직관적입니다. 많은 사람들이 (달 전 포함) 오라클의 보안 리듬에 기본이 있습니다 : 10 월에 한 번, 1295 패치를 청소하고 이상입니다.
하지만 오라클의 공개 발표는 실제로 세 풀입니다:
- 카톨릭 패치 업데이트 (CPU)- 분기로 배치, 모두 함께.
- 보안 경고— Urgent 단일 도트, 분기 리듬에 통합되지, CVE는 단일 페이지를 열 수 있습니다.
- Creative Security 패치 업데이트— 두 사이의 패치.
모델 번호: CVE-2026-91403두 번째 풀.나는 모른다. 나는 CPU 게시판의 전체 텍스트를 통해 갔다 -- 1295 새로운 패치, 어떤 Java SE는 55, 49은 저자화없이 원격으로 사용될 수있다 --전체 텍스트 검색 CVE-2026-91403, 0 조회 수.
무엇을 의미합니까? 자산 흐름이 CPU의 "quarterly CVE 목록 인 경우, 루프 홀로 리드, 수리를 일정," 루프 홀입니다.당신의 목록에 절대.나는 모른다. 그것은 누락되지 않습니다, 그것은 데이터 소스를 커버하지 않는 파이프입니다.
Oracle은 Security Alert의 패치가 적용된 효과에 대한 보안 경고를 추가했습니다.프리미어 지원 또는 장시간 지원 단계에 있는 덮개 버전, 지원 주기에 없는 버전은 시험되지 않을 것입니다. 번역은 -- 이전 버전에서 나를 찾고 없습니다.
그런데, 테이블의 두 가지 버전이 없습니다.
이 pit은 조사 중 발견되었으며 더 많은 경고입니다.
같은 10 월 리듬에서 Java SE는 두 가지 완전히 다른 버전과 등장했습니다. CPU, 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; 보안 경고, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
오류가 없습니다. 그것은 두 가지 다른 업데이트입니다. 나는 생각, "이 분기 CPU로 수행,"그리고 그것은 같은 버전이 아니에요.이 상황의 가장 위험은 패치의 부재가 아니지만, 그들은 안전하다고하는 사실입니다.
II. Pit II: 9.1 분, 하지만 RCE
제목을 놓는 것이 더 낫습니다.
CVE-2026-91403 벡터 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N설치하기
| 크기 (mm) | 오시는 길 | 이름 * |
|---|---|---|
| AV 공격 벡터 | N (네트워크) | 먼 접근 |
| AC 공격의 복잡성 | L (낮은) | 사전 조건의 무리에 대한 필요는 없습니다. |
| PR 권한 | N (없음) | 인증 없이 시작할 수 있습니다. |
| UI 사용자 상호 작용 | N (없음) | 당신은 링크에 대해 누구에게 거짓말하지 않습니다. |
| S 작업 범위 | U (변경 없음) | 자신의 안전한 도메인에 한정된 충격 |
| C 기밀성 | H (높은) | 주요 자료 접근 |
| 나는 완전성 | H (높은) | 중요한 자료는 창조되거나 삭제될 수 있습니다 |
| 사용 방법 | N (없음) | Oracle은 서비스의 중단 효과를 나타내지 않았습니다. |
마지막 선은 열쇠입니다.없음.
Oracle의 원래 설명은 액세스 권한의 무단 생성, 삭제 또는 수정, 키 데이터에 무단 액세스.단어 원격 코드 예외는 전역에 나타나지 않습니다.
slang이 아닙니다. 9.1 포인트는 C : H + I : H가 개최되었습니다. — 읽기 쉬운, 수정, 파괴. 그러나 "변경을 읽을 수 있습니다"및 "모든 코드를 시행 할 수 있습니다." 처리 할 수있는 두 가지가 있습니다 : 이전은 종종 데이터 표면이 침투한다는 것을 의미하고 후자는 전체 기계가 교대임을 의미합니다. 당신은 분수에서 그들을 순위, 그리고 당신은 semantics에서 그들을 순위.
하나의 세부 사항 : Oracle은 홀을 말한다.신뢰할 수없는 코드를로드하고 실행하는 Java 배포에 영향을 줄 수 있습니다.일반적인 장면은 Java Sandbox의 sandbox에서 Java 웹 시작 응용 프로그램 및 applet입니다. 이제 드문 장면이지만, 오래된 시스템에 있다면, 모래 상자의 성격이 한 번 착용되면 다른 것입니다.
플러스, pit의 교정 : Oracle은 분명히 CVSS 점수를 말했습니다.applet 또는 WebStart를 실행하는 사용자들이 관리자 권한이 있습니다.(Windows 공용) 사용자가 관리자가 아닌 경우 (솔리시스, 리눅스에서 데모), 기밀성에 대한 영향 점수, 무결성 및 유용성은 높은에서 낮은 감소, 벤치 마크의 큰 비율에 따라.동일한 CVE는 다른 플랫폼에서 완전히 다를 수 있습니다.
3개의 1개의 구멍, 3개의 층.
두 개의 pits는 실제로 동일한 방법의 문제점에 점:우리는 모든 조각에서 분류, 하지만 아무도 semantics 및 소스를 깰.
첫 번째 수준 : Bulletin 시스템 - 어느 풀에서 간다
자동 파이프가 얻을 수 있는지 결정합니다. CPU, 보안 경고, CSPU는 다른 리듬, 적용 및 URL 구조와 함께 세 가지 다른 채널입니다. CPU 프로세스 만, 자연적으로 모든 긴급 단일 지점을 누락.
제조업체를 얻는 것이 가장 편리한 방법.CVE에서 게시판 맵입구는 특정 공지가 아닙니다. Oracle은 CVE to Advisory/Alert, 어떤 CPU 페이지보다 더 신뢰할 수 있는지도를 제공합니다.
두 번째 수준 : 등급의 semantics - 9.1 - 점은 무엇입니까?
CVSS는 순위가 아닌 분해 금액입니다. C : H / I : H / A : N 9.1 및 C : H / I : H / A : H : H, 9.1, 처리 우선은 다를 수 있어야한다 - 이전은 "data tampered"및 후자는 "서비스가 hung up"과 첫 번째 두.
더 실용적인:점을 통해 벡터를 볼 수 있습니다.AC:L + PR:N + UI:N, 함께 촬영, 공격의 얼굴이 완전히 열려 있다는 것을 의미, 어떤 preconditions 없이. 7점의 점수를 가진 이 구멍은 연결되는 그 9점 보다는 더 많은 가능성이 입니다.
Level 3: 공급망 공급 - 누가 건설은?
Oracle JDK는 그 중 하나입니다. OpenJDK의 배포 빌더와 온라인을 실행할 수 있습니다, 클라우드 제조업체의 사용자 정의 JDK, 또는 컨테이너 미러로 포장 된 타사 빌더.CVE 수정은 공급 업체가 상류 패치를 넣지 않았을지 여부에 따라 고정되지 않으며 Oracle hairless 패치는 두 가지입니다.
Oracle의 발표를보고 Oracle JDK 버전에서 볼 수 없습니다. - 실제로 누구인지 알아보십시오. 그것은 작동하지 않습니다. 그것은 쓸모가 없습니다.
우리는 무엇을해야합니까?
- 첫 번째 버전을 확인합니다.다운로드
java -version, 위의 테이블 비교. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 이들은 영향을받지 않고 복원 된 버전입니다. - CPU에서만 구독하지 마십시오.CVE-to-Advisory map을 입력하여 보안 경고와 CSPU를 하나의 페이지로 다시 연결합니다.
- 벡터를 열고 정렬합니다.적어도 A (availability) 항목을 꺼내 "9.1"라는 단어를 대체하지 마십시오.
- 체크 아웃, 공급 업체.그것은 수리 할 수있는 실제 경로입니다.
- 완화 대책을 계산하지 마십시오.이 발표에서, 오라클은 세계에 포기하지 않았다, 그리고 신용 진술은 Noon Credite에 의해 작성되었습니다 -- 누가하지 않았다, 또는 우회. 이를 패치하는 한 가지 방법이 있습니다.
다른 자산 관리 항목이 있습니다."publicity type"을 필드로 저장합니다.CPU 및 보안 경고는 SLA에 응답하는 다른 것이고 - 이전은 분기 창을 통해 갈 수 있으며 후자는 긴급 절차를 따릅니다. 시계에서 비상은 계절의 끝에 지연됩니다.
V. FINAL STATEMENT의 구성
이 루프홀 자체, 9.1 포인트, 무단, 네트워킹, 비동기성, 읽기 가능 - 그것은 수리 및 우선.
그러나 그것이 나를 가져왔다는 것은 루프홀 자체가 아니지만 ...내 광경에서 어떻게 얻었습니까?: 분기별 총알라인에 포함되지 않는 비상 패치, 일치하지 않는 버전 번호, RCE없이 9.1 포인트. 고립에서 일어나는 세 가지 것들은 치명적이지 않으며, 그들은 함께 와서 그들이 좋아했다, "나는 내가 완료되었지만, 나는 그들을 볼 수 없었다."
루프홀은 끔찍하지 않습니다, 당신은 당신의 과정에서 장소가없는 끔찍합니다.
그런데, 데이터의 메모를 취하고 직접 확인하기 위해 쉽게 만들 수 있습니다 : 분기 동안 CPU는 1295 새로운 패치의 총을 가지고, 자바 SE는 55, 49에 대한 계정이 원격으로 익숙하지 않은; CVE-2026-91403 보안은 경고를 갔다, 21 10월 2026, Rev 1, 만 Java SE 제품 라인으로 포함.
여기 링크입니다:Oracle 보안 경고 – CVE-2026-91403나는 모른다. 위험 부담 매트릭스의 텍스트를보고 싶다면 총알 페이지에 링크가 있습니다.