CVE-2017-10346

Krytyczna podatność w komponencie Hotspot Oracle Java SE umożliwiająca przejęcie systemu

CVSS 9.6v3.1pub. 2017-10-19upd. 2026-05-13

Podatność w komponencie Hotspot środowiska Java SE oraz Java SE Embedded umożliwia nieuwierzytelnionemu atakującemu zdalne przejęcie kontroli nad zaatakowanym systemem. Wysoki poziom zagrożenia wynika z łatwości eksploatacji, braku wymagań autoryzacyjnych oraz możliwości wpływu na dodatkowe produkty poza bezpośrednio atakowanym środowiskiem.

▸ Pokaż oryginał (EN)

Vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE (subcomponent: Hotspot). Supported versions that are affected are Java SE: 6u161, 7u151, 8u144 and 9; Java SE Embedded: 8u144. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded. Successful attacks require human interaction from a person other than the attacker and while the vulnerability is in Java SE, Java SE Embedded, attacks may significantly impact additional products. Successful attacks of this vulnerability can result in takeover of Java SE, Java SE Embedded. Note: This vulnerability applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. This vulnerability does not apply to Java deployments, typically in servers, that load and run only trusted code (e.g., code installed by an administrator). CVSS 3.0 Base Score 9.6 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).

🤖 Analiza AI

Jak działa

Atakujący uzyskuje dostęp sieciowy do ofiary poprzez wiele protokołów bez konieczności posiadania jakichkolwiek uprawnień. Atak wymaga jednak interakcji ze strony użytkownika (np. odwiedzenia złośliwej strony lub uruchomienia niezaufanego kodu). Podatność dotyczy środowisk, w których Java uruchamia niezaufany kod w trybie sandboxowym — typowo w klientach korzystających z Java Web Start lub apletów Java ładujących kod z internetu. Nie dotyczy wdrożeń serwerowych uruchamiających wyłącznie zaufany kod.

Skutki

Skuteczne wykorzystanie podatności może doprowadzić do całkowitego przejęcia środowiska Java SE lub Java SE Embedded, obejmującego naruszenie poufności, integralności oraz dostępności danych i usług. Atak może wywierać znaczący wpływ również na inne produkty działające w tym samym środowisku.

Mitygacja

Należy zaktualizować Oracle Java SE do wersji wydanej w ramach Oracle Critical Patch Update z października 2017 roku. Szczegółowe informacje o dostępnych patchach znajdują się w oficjalnym biuletynie Oracle (cpuoct2017-3236626) oraz erratach Red Hat RHSA-2017:2998 i RHSA-2017:2999. Należy zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

Java SE w wersjach: 6u161, 7u151, 8u144 oraz 9; Java SE Embedded w wersji 8u144.

Uwagi

Podatność nie dotyczy wdrożeń serwerowych uruchamiających wyłącznie kod instalowany przez administratora. Ryzyko dotyczy przede wszystkim środowisk klienckich uruchamiających niezaufany kod w piaskownicy (sandbox), takich jak Java Web Start i aplety Java.