Java ma lukę 9.1, CVE- 2026- 91403, ale rozejrzałem się po biuletynie Oracle i znalazłem dwie duże dziury.
Po pierwsze, wniosek jest następujący:CVE- 2026- 91403 jest prawdą, CVSS 3.1 pokonać 9.1, i rzeczywiście poważne. Ale nie ma tego w biuletynie CPU w tym sezonie, i nie ma "kodowania" w 9.1 minuty.Jeśli tego nie rozgryziesz, będziesz miał zły rytm i porządek.
Ta dziura przeszła przez Oracle 21 października 2026 roku. Alarm bezpieczeństwa Pojedyncza wskazówka, nie z kwartalnej aktualizacji Patch. Składniki to: JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, plus GraalVM dla JDK 17.02.13 i GraalVM EE 21.3.20.
I chciałbym zaznaczyć, z tytułu, że przejdę do systemu biuletynu Oracle i znajdę dwie dziury warte więcej niż sama dziura. Bo te dwie dziury nie są problemem.Wszystkie zespoły pracujące nad Biuletynem Zamiatacza będą się tym zajmować.Tak.
I. Pit One: To nie jest w CPU w tym kwartale.
To jest najbardziej antyintuicyjne. Wiele osób (w tym ja miesiąc temu) ma domyślne na rytm bezpieczeństwa Oracle 'a: Kwartalny CPU, raz w październiku, zamiatać 1295 plastry i to koniec.
Ale publiczne ogłoszenie Oracle to właściwie trzy baseny:
- Katolicka aktualizacja łatek (CPU)- Kwartalne partie, wszystkie razem.
- Alarm bezpieczeństwa- Pilne pojedyncze kropki, niezintegrowane z rytmem kwartalnym, CVE może otworzyć jedną stronę.
- Kreatywna aktualizacja systemu bezpieczeństwa- Łata między nimi.
CVE- 2026- 91403.Drugi basen.Nie wiem. Przejrzałem cały tekst biuletynu CPU - 1295 nowych łat, z których Java SE wynosiła 55, 49 mógł być używany zdalnie bez autoryzacji -Pełna wyszukiwarka tekstu CVE- 2026- 91403, 0 wyświetleń.
Co to znaczy? Jeśli Twój przepływ aktywów jest "kwartalną listą CVE CPU, prowadzić do luki, zaplanować naprawy", to jest luka.Nigdy na liście.Nie wiem. Nie zaginęła, to rura nie pokrywa źródła danych.
Wyrocznia dodała specjalny fragment do alarmu bezpieczeństwa, że system alarmowy bezpieczeństwaTylko wersje w fazie Premier Support lub Extended Support, wersja, która nie jest w cyklu wsparcia nie będą testowane. Nie szukaj mnie w starej wersji.
Przy okazji, dwie wersje tabel nie są podniesione.
Ten dół został odkryty podczas śledztwa, i jest jeszcze bardziej niepokojący.
W tym samym październikowym rytmie Java SE pojawiła się w dwóch całkowicie różnych wersjach: CPU, składający się z 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Security Alert, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
To nie błąd. To dwie różne aktualizacje. Pomyślałem: "Skończyłam z procesorem w tym kwartale" i to nie była ta sama wersja.Najgroźniejszym z tych okoliczności nie jest brak plastrów, ale fakt, że są one bezpieczne.
II. Pit II: 9.1 minut, ale nie RCE
To bardziej subtelne i łatwiejsze przegapić tytuł.
wektor CVE- 2026- 91403 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NOtwórz.
| Wymiary | Weź wartość | Znaczenie |
|---|---|---|
| AV Attack Vector | N (sieć) | Zdalny dostęp |
| Złożoność AC ataku | L (niski) | Nie ma takiej potrzeby. |
| Wymagane uprawnienia PR | N (brak) | Możesz zacząć bez uwierzytelniania. |
| Interfejs użytkownika interfejsu użytkownika | N (brak) | Nie musisz nikogo okłamywać. |
| S Zakres działania | U (bez zmian) | Wpływ ograniczony do własnej bezpiecznej domeny |
| C Poufność | H (wysoki) | Kluczowe dane dostępne |
| I Integralność | H (wysoki) | Kluczowe dane można utworzyć / usunąć / zmodyfikować |
| Dostępność | N (brak) | Wyrocznia nie wskazała skutków zakłócania usługi |
Ostatnia linia jest kluczem.Brak
Oryginalny opis Oracle służy do tworzenia, usuwania lub modyfikacji praw dostępu oraz nieautoryzowanego dostępu do kluczowych danych.Wyraz "zdalny kod" nie pojawia się w całości.
To nie slang. 9.1 Chodzi o to, że C: H + I: H trzymane - czytelne, zmodyfikowane, destrukcyjne. Ale "może odczytać zmiany" i "może egzekwować każdy kod". Są dwie rzeczy, którymi należy się zająć: pierwsze często oznacza, że powierzchnia danych jest przenikana, a drugie oznacza, że cała maszyna się przemieszcza. Uporządkowujesz je w ułamkach i w semantyce.
Jeszcze jeden szczegół: Wyrocznia mówi, że dziura.Może to wpłynąć na wdrażanie Javy, które ładują i uruchamiają niegodne zaufania kody.Typową sceną jest aplikacja Java Web Start i aplet w piaskownicy, pod piaskownicą Java. To rzadka scena, ale jeśli masz ją w starym systemie, to co innego, ponieważ natura piaskownicy zmienia się, gdy jest noszona.
Dodatkowo, kalibracja otworu: Oracle wyraźnie powiedział swój wynik CVSSZałóżmy, że użytkownicy uruchamiający aplet lub WebStart mają uprawnienia administratora(Windows wspólne) Gdy użytkownik nie jest administratorem (wspólne dla Solaris, Linux), wynik oddziaływania dla poufności, integralności i użyteczności jest zmniejszony z wysokiej do niskiej, a następnie duży procent wskaźnika referencyjnego.Ten sam CVE może być zupełnie inny na różnych platformach.
Trzy, jedna dziura, trzy warstwy.
Te dwie doły faktycznie wskazują na tę samą kwestię metodologiczną:Wszyscy jesteśmy posortowani ułamkami, ale nikt nie łamie semantyki i źródeł.
Pierwszy poziom: system biuletynów - w którym puli idzie
Określa to, czy twoja automatyczna rura może ją zdobyć. CPU, Security Alert, CSPU to trzy różne kanały, z różnymi rytmami, zasięg, a nawet struktury URL. Tylko procesor, oczywiście brakuje wszystkich awaryjnych pojedynczych punktów.
Najmniej wygodnym sposobem jest zdobycie producenta.CVE do mapy biuletynuUznaj to za jedyne wejście, a nie konkretne ogłoszenie. Oracle zapewnia własną mapę CVE do doradztwa / Alert, który jest bardziej niezawodny niż jakakolwiek strona procesora.
Drugi poziom: semantyka oceny - 9.1 - jakie są punkty?
CVSS to kwota rozkładu, a nie ranking. C: H / I: H / A: N 9.1 i C: H / I: H / A: H: H, 9.1, priorytet unieszkodliwiania powinien być inny - pierwszy z nich to "manipulacja danymi", a drugi to "rozłączanie usług" oraz dwa pierwsze.
Bardziej praktyczne:Przydatne jest widzieć wektory nad punktami.AC: L + PR: N + UI: N, razem wzięte, oznacza, że twarz ataku jest całkowicie otwarta, bez żadnych warunków wstępnych. Nawet z wynikiem siedmiu, ta dziura jest znacznie bardziej prawdopodobne, aby być używane niż te dziewięć punktów, które są połączone.
Poziom 3: Łańcuch dostaw - czyja to konstrukcja?
Oracle JDK jest jednym z nich. Możesz uruchomić online z budowniczym dystrybucji OpenJDK, niestandardowy JDK dla producenta chmur, lub trzeci-strona budowniczy zapakowany do lustra pojemnika.CVE poprawki nie są stałe, w zależności od tego, czy sprzedawca nie umieścić plaster w górę, a Oracle bezwłosa łata jest dwie rzeczy.
Więc nie patrz na ogłoszenie Oracle 'a i jego wersję Oracle JDK -- dowiedz się, kim naprawdę jesteś. To nie działa. To bezużyteczne.
Co powinniśmy zrobić?
- Najpierw potwierdź wersję.Uciekaj!
java -version, porównać tabelę powyżej. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 Są one dotknięte, a nie przywrócone wersje. - Nie subskrybuj tylko procesora.Włącza alarm bezpieczeństwa i CSPU do nadzoru, używając mapy CVE- to- Advisory jako wpisu i nie polegając na jednej stronie.
- Otwórz wektor i posortuj go.Przynajmniej wyjmij element A (dostępność) i nie zastępuj słowa "9.1" słowem "9.1".
- Zobacz, sprzedawco.To prawdziwa droga do naprawy.
- Nie licz na środki łagodzące.W tym ogłoszeniu, Oracle nie dał go światu, a wyciągi kredytowe zostały napisane przez Noon Credite - ani przez tego, kto to zrobił, ani przez bajpas. Jest tylko jeden sposób, żeby to naprawić.
Jest jeszcze jeden element zarządzania aktywami:Zapisz słowo "reklama typu" jako pole.CPU i Security Alert powinny być różne w odpowiedzi na SLA - pierwszy może przejść przez okna kwartalne, a drugi następuje proces awaryjny. W zegarku, nagły wypadek jest opóźniony do końca sezonu.
V. KONTEKST OŚWIADCZENIA KOŃCOWEGO
Ta luka sama w sobie, 9.1 punktów, nieautoryzowane, sieciowalne, nieinteraktywne, czytelne - powinna być naprawiana i priorytetowo traktowana.
Ale to, co mi to dało, to nie była luka, ale...Jak to zniknęło mi z oczu?: system alarmowy nieuwzględniony w biuletynie kwartalnym, niezrównany numer wersji, punkt 9.1 bez RCE. Trzy rzeczy, które dzieją się w odosobnieniu, nie są śmiertelne, spotykają się razem i mówią: "Myślałem, że skończyłem, ale ich nie widziałem".
Luka nie jest straszna, to straszne, że nie ma miejsca w procesie.
Przy okazji, zanotować dane i ułatwić Ci sprawdzenie siebie: w ciągu kwartału, CPU miał w sumie 1295 nowych łat, Java SE stanowiły 55, 49 z których były zdalnie nieautoryzowane; CVE- 2026- 91403 poszedł Alarm bezpieczeństwa, 21 października 2026, Rev 1, który obejmował tylko Java SE jako linię produktu.
Oto link:Oracle Security Alert - CVE- 2026- 91403Nie wiem. Jeśli chcesz zobaczyć tekst macierzy ryzyka, jest link na stronie biuletynu.