Java có lỗ hổng 9,1, CVE-26-91403, nhưng tôi đã nhìn xung quanh thông tin Nhà tiên tri và tìm thấy hai lỗ lớn.
Đầu tiên, kết luận là:CVE-26-91403 là đúng, CVSS 3.1 lần 9.1, và thực sự nghiêm trọng. Nhưng nó không có trong báo cáo của CPU mùa này, và không có "sự lựa chọn" trong 9.1 phút.Nếu anh không hiểu hết mọi chuyện, anh sẽ hiểu sai nhịp điệu và mệnh lệnh.
Cái lỗ này được Nhà tiên tri thông qua ngày 21 - 10 - 2026. Cảnh báo bảo mật Từng điểm một, không phải từ tạp chí "Thợ vá". Các thành phần là JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, cộng GraalVM cho JDK 17.02.13 và GraalVM E 21.3.20.
Và tôi muốn chỉ ra, theo tiêu đề, rằng tôi sẽ kiểm tra hệ thống thông tin của Nhà tiên tri và tìm thấy hai hố đáng để viết nhiều hơn chính cái lỗ. Bởi vì hai cái hố này không phải là vấn đề.Tất cả các đội làm việc trên tờ báo Quarterly.Ừ.
Nó không ở trong CPU quý này.
Đây là phản trực giác nhất. Nhiều người (kể cả tôi một tháng trước) có một mặc định về nhịp độ an ninh của Nhà tiên tri: CPU một thời vào tháng 10, quét 1295 bản vá và nó đã kết thúc.
Nhưng thông báo công khai của Nhà tiên tri thực sự là ba hồ bơi:
- Đắp vá Công giáo (CPU)- Hàng chục mẻ, cùng nhau.
- Cảnh báo bảo mật— Một chấm khẩn cấp, không hợp nhất với nhịp mỗi quý, một xe buýt có thể mở ra một trang.
- Cập nhật đắp vá bảo mật tạo- Một mối nối giữa hai người.
CVE-26-91403.Hồ bơi thứ hai.Tôi không biết. Tôi đã xem qua đoạn văn đầy đủ của bản tin CPU -- 1295 bản vá mới, trong đó Java SE là 55, 49 có thể được sử dụng từ xa mà không cần giấy phép --Tìm kiếm văn bản đầy đủ CVE-26-91403, 0 hit.
Nghĩa là sao? Nếu thông tin tài sản của bạn là "phần lớn danh sách CPU, dẫn đến lỗ hổng, lên lịch sửa chữa," đó là một lỗ hổng.Chưa bao giờ trong danh sách của anh.Tôi không biết. Nó không mất tích, mà là đường ống không bao gồm các nguồn dữ liệu.
Và Nhà tiên tri đã thêm một thông điệp đặc biệt vào báo động an ninh hiệu quả của các bản vá cảnh báo an ninhChỉ có các phiên bản bìa trong giai đoạn hỗ trợ trước hoặc mở rộngMột phiên bản không có trong chu kỳ hỗ trợ sẽ không được thử nghiệm. Dịch là -- đừng đến tìm tôi trong phiên bản cũ.
Nhân tiện, có hai phiên bản bàn chưa được dọn xong.
Cái hố này được phát hiện trong quá trình điều tra, và còn đáng sợ hơn.
Trong cùng nhịp đập của tháng mười, Java SE xuất hiện với hai phiên bản hoàn toàn khác nhau: CPU, tính từ 8u503, 11.0.32, 1.20.1, 1.01.12, 25,04, 6.2, 27; An ninh, 8,511, 11.3.
Đó không phải là lỗi. Hai bản cập nhật khác nhau. Tôi nghĩ, "Tôi xong với CPU rồi" và nó không giống nhau.Điều nguy hiểm nhất trong những tình huống này không phải là sự vắng mặt của những mảnh vá, mà là sự thật rằng chúng được an toàn.
II. Pit II: 9.1 phút, nhưng không phải RCE
Sẽ dễ dàng hơn nếu bỏ lỡ tựa đề.
CVE-26-91403 véc- tơ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NMở ra.
| Các chiều | Lấy giá trị | Nghĩa là |
|---|---|---|
| Name | N (Network) | Truy cập từ xa |
| AC phức tạp của tấn công | L (low) | Không cần thiết cho một đám tiền điều kiện. |
| Cần quyền quảng cáo | N (không có) | Bạn có thể bắt đầu mà không cần xác thực. |
| Tương tác người dùng UI | N (không có) | Anh không cần phải nói dối bất cứ ai về đường link. |
| Phạm vi hành động | U (không thay đổi) | Ảnh hưởng chỉ giới hạn trong phạm vi an toàn của chính nó |
| Tin tưởng | H (cao) | Name |
| Lòng trung kiên | H (cao) | Dữ liệu khóa có thể được tạo/ xoá/ sửa |
| Một tính dễ bị tổn thương | N (không có) | Nhà tiên tri không cho thấy ảnh hưởng của dịch vụ |
Dòng cuối cùng là chìa khóa.Không.
Bản mô tả ban đầu của nhà tiên tri là tạo trái phép, xóa hoặc sửa đổi quyền truy cập, cộng với truy cập trái phép vào dữ liệu khóa.Không phải từ nào cũng xuất hiện ngoại lệ.
Không phải tiếng lóng. 9.1 Điểm là C: H + I: H — dễ đọc, sửa đổi, hủy diệt. Nhưng "có thể đọc thay đổi" và "có thể thực thi bất kỳ mã lệnh." Có hai điều cần phải giải quyết: bề mặt dữ liệu thường có nghĩa là bề mặt dữ liệu là sâu sắc, và điều sau có nghĩa là toàn bộ máy đang chuyển động. Bạn xếp chúng vào hàng phân số, và xếp chúng vào hàng ngữ nghĩa.
Một chi tiết nữa: Nhà tiên tri nói cái lỗ.Nó có thể ảnh hưởng đến việc khởi động xe Java và chạy mã không đáng tin cậy.Cảnh điển hình là ứng dụng trang web Java và tiểu dụng trong hộp cát, dưới hộp cát Java. Bây giờ nó là một cảnh hiếm, nhưng nếu bạn có nó trong hệ thống cũ của bạn, nó là một điều khác bởi vì bản chất của hộp cát thay đổi một khi nó đã được mặc.
Hơn nữa, sự cân nhắc của cái hố: Nhà tiên tri đã nói rõ điểm chung của nóGiả sử người dùng đang chạy tiểu dụng hay webStart có quyền quản trị(Tiếng cửa sổ) Khi người dùng không phải là một nhà quản trị (common trên Solaris, Linux), điểm ảnh hưởng cho việc giữ bí mật, tính trung thực và khả năng sử dụng được giảm từ cao xuống thấp, theo sau là phần lớn các dấu băng.Cùng một CVE có thể hoàn toàn khác nhau trên các nền tảng khác nhau.
Ba, một lỗ, ba lớp.
Hai cái hố thực sự chỉ tới cùng một vấn đề phương pháp:Chúng ta đều được phân số phân số phân số, nhưng không ai phá vỡ các ngữ nghĩa và các nguồn.
Trình độ thứ nhất: hệ thống thông tin - nơi mà nó đi
Điều này xác định xem ống nước tự động của bạn có thể lấy nó hay không. CPU, báo động an ninh, CNPU là ba kênh khác nhau, với nhịp điệu, thông tin và ngay cả cấu trúc URL khác nhau. Chỉ là quá trình CPU, tự nhiên mất tất cả các điểm khẩn cấp.
Cách ít tiện nhất là tìm nhà sản xuất.VỚI bản đồ tin tứcCoi như đó là lối vào duy nhất, không phải một thông báo cụ thể. Nhà tiên tri cung cấp bản đồ CVE cho cố vấn/Alert, đáng tin cậy hơn bất kỳ trang CPU nào.
Tầng hai: ngữ nghĩa của đánh giá - 9.1 - điểm nào?
CVSS là một số lượng phân hủy, không phải xếp hạng. C:H/I: H/A: H/N 9.1 và C: H/I: H/H/A: H, 9.1, ưu tiên xử lý nên khác — người trước đây bị “bấp tắt dữ liệu và người sau bị treo cổ cộng với hai người đầu tiên.
Thực tế hơn:Nó hữu ích để thấy véc tơ trên điểm.AC:L + PR:N + UI:N, cùng nhau, có nghĩa là khuôn mặt của cuộc tấn công hoàn toàn mở, mà không có bất kỳ điều kiện trước. Ngay cả khi có 7 điểm, cái lỗ này rất có thể được dùng nhiều hơn 9 điểm liên kết.
Tầng 3 là công trình của ai?
Nhà tiên tri JCK chỉ là một trong số đó. Bạn có thể chạy trực tuyến với một công ty phân phối OpenJDK, một tập tục JDK cho một nhà sản xuất mây, hoặc một người xây dựng bên thứ ba đóng gói vào một tấm gương container.CVE sửa chữa không được cố định, phụ thuộc vào liệu nhà cung cấp đó có đặt bảng điều khiển ngược dòng hay không, và miếng vá không có lông là hai thứ.
Vì vậy, đừng nhìn vào thông báo của Nhà tiên tri và nhìn vào phiên bản nhà tiên tri JDK của ông -- tìm hiểu xem bạn thực sự là ai. Nó không hoạt động. Vô ích thôi.
Chúng ta nên làm gì?
- Xác nhận phiên bản trước.Chạy!
java -versionso sánh cái bàn ở trên. 8u511 / 11,0.33 / 17.0.21 / 21,13 / 25.5 / 27.0.1.1. Những bản này bị ảnh hưởng và không được phục hồi. - Không chỉ đăng ký vào CPU.Hợp nhất cảnh báo an ninh và CNPU vào hệ thống giám sát, sử dụng bản đồ CVE-to-Avisory như một lối vào và không dựa vào một trang duy nhất.
- Mở véc tơ và sắp xếp nó.Ít nhất hãy lấy mục A (không thể thay thế được) và không thay thế từ "9.1" bằng từ "9.1".
- Xem này, người bán hàng.Đó là con đường thực sự để sửa chữa.
- Đừng trông chờ vào biện pháp giảm nhẹ.Trong thông báo này, Nhà tiên tri đã không đưa nó cho thế giới, và những lời khai tín dụng được viết bởi Noon Credite -- không phải bởi ai làm điều đó, cũng không phải bằng cách vượt qua. Chỉ có một cách để băng bó chuyện này.
Có một mục quản lý tài sản khác:Lưu từ "công cộng" thành một lĩnh vực.CPU và báo động an ninh nên khác nhau khi phản ứng với SLA - những người trước có thể đi qua hàng quý cửa sổ và sau đó là một quá trình khẩn cấp. Trong một cái đồng hồ, tình trạng khẩn cấp bị trì hoãn đến cuối mùa.
V. Chấp thuận Hoa Kỳ cuối cùng
Lỗ hổng này, 9.1 điểm, không được phép, không thể kết nối, không thể đọc được, nó nên được sửa chữa và ưu tiên.
Nhưng cái mà nó mang lại cho tôi không phải là lỗ hổng, nhưng nó...Làm sao nó biến mất khỏi mắt tôi?: một bản vá khẩn cấp không có trong bản tin hàng quý, một số phiên bản không ai sánh bằng, 9.1 điểm mà không có RCE. Ba điều xảy ra trong sự cô lập không phải là nguy hiểm, và chúng đến với nhau và nói, "Tôi nghĩ tôi đã xong rồi, nhưng tôi không thấy chúng."
Lỗ hổng không tệ, thật kinh khủng khi anh không có chỗ cho quá trình của mình.
Nhân tiện, hãy ghi lại dữ liệu và làm cho bạn dễ kiểm tra bản thân hơn: trong suốt quý, CPU có tổng cộng 1295 bản vá mới, Java SE tính được 55, 49 trong số đó không được phép từ xa; CVE-26-91403 đi báo động an ninh, 21 tháng 10 năm 2026, Rev 1, mà chỉ bao phủ Java SE như một dòng sản phẩm.
Đây là liên kết:Báo động an ninh tiên tri – CVE-26-91403Tôi không biết. Nếu bạn muốn xem văn bản của ma trận rủi ro, có một đường dẫn trên trang tin tức.