Oracle Java SE 多种漏洞（2025 年 1 月 CPU）

medium Nessus 插件 ID 214532

语言：

简介

远程主机受到多个漏洞影响

描述

远程主机上安装的 8u431、11.0.26、17.0.14、20.3.16、21.0.5、21.3.12、23.0.2 和 perf 版本受到 2025 年 1 月 CPU 公告中提及的多个漏洞影响。

- Oracle Java SE 中的漏洞组件Install (Sarkle)。受影响的受支持版本是 Oracle Java SE：8u431。难以利用的漏洞允许高权限攻击者访问附加到硬件（Oracle Java SE 在该硬件上执行）上的物理通信段，从而破坏 Oracle Java SE。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle Java SE 中，但攻击可能对其他产品造成重大影响（范围更改）。此漏洞如攻击成功，将导致 Oracle Java SE 被接管。注意：仅适用于 macOS 自动更新程序。(CVE-2025-0509)

- Oracle Java SE 的 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 产品中存在漏洞（组件：Hotspot）。支持的版本中受影响的是 Oracle Java SE：8u431-perf、11.0.26、17.0.14、21.0.5、23.0.2；Oracle GraalVM for JDK：17.0.14、21.0.5、23.0.2；Oracle GraalVM Enterprise Edition：20.3.16 和 21.3.12。攻击此漏洞的难度较大，通过多种协议访问网络的未经身份验证的攻击者可以利用此漏洞破坏 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或修改部分 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的访问权限，以及未经授权即可读取访问 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的子集。注意：此漏洞可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。此漏洞也适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。(CVE-2025-21502)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。