BDU:2019-03882 (CVE-2019-2989)

Уязвимость компонента Java виртуальной машины Oracle GraalVM Enterprise Edition и программных платформ Oracle Java SE, Oracle Java SE Embedded, позволяющая нарушителю оказать воздействие на целостность защищаемой информации

Опубликовано: 2019-11-04

Описание

Уязвимость компонента Java виртуальной машины Oracle GraalVM Enterprise Edition и программных платформ Oracle Java SE, Oracle Java SE Embedded связана с ошибками обработки ответов HTTP proxy. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации

Затрагиваемое ПО и версии

Red Hat Enterprise Linux (6)Red Hat Enterprise Linux (7)Debian GNU/Linux (9)Red Hat Enterprise Linux (8)Debian GNU/Linux (8)Debian GNU/Linux (10)Java SE (7u231)Java SE (8u221)Java SE (11.0.4)Java SE (13)Java SE Embedded (8u221)GraalVM Enterprise Edition (19.2.0)OpenJDK (от 11.0.0 до 11.50.2 включительно)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Использование рекомендаций:
Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpuoct2019.html

Для OpenJDK-11:
Обновление программного обеспечения до 11.0.5+10-2 или более поздней версии
Для OpenJDK-8:
Обновление программного обеспечения до 8u232-b09-1 или более поздней версии
Для OpenJDK-7:
Обновление программного обеспечения до 7u231-2.6.19-1~deb8u2 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета openjdk-11) до 11.0.5+10-1~deb10u1 или более поздней версии
Обновление программного обеспечения (пакета openjdk-8) до 8u232-b09-1~deb9u1 или более поздней версии
Обновление программного обеспечения (пакета openjdk-7) до 7u231-2.6.19-1~deb8u2 или более поздней версии

Для программных продуктов Red Hat Inc.:
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-2989

Для ОС ОН «Стрелец»:
Обновление программного обеспечения openjdk-8 до версии 8u292-b10-repack1-0+deb9u1.osnova11

Оценка CVSS

Балл	5.4 — средняя опасность

Источники и патчи

https://www.oracle.com/technetwork/topics/security/public-vuln-to-advisory-mapping-093627.html https://www.oracle.com/security-alerts/cpuoct2019.html https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-2989 https://launchpad.net/ubuntu/+source/openjdk-8/+changelog https://advisories.mageia.org/MGASA-2019-0302.html https://linuxsecurity.com/advisories/mageia/mageia-2019-0302-java-1-8-0-openjdk-security-update-19-07-54 https://www.debian.org/security/2019/dsa-4546 https://www.debian.org/security/2019/dsa-4548

Проверьте безопасность своего сайта и почты → Полная проверка домена