CVE-2019-17631

Eclipse OpenJ9: brak kontroli uprawnień do operacji diagnostycznych

CVSS 9.1v3.1pub. 2019-10-17upd. 2024-11-21

W Eclipse OpenJ9 w wersjach 0.15 oraz 0.16 operacje diagnostyczne, takie jak wywołanie garbage collectora (GC) czy tworzenie pliku diagnostycznego, są dostępne bez jakichkolwiek kontroli uprawnień. Umożliwia to nieuwierzytelnionemu atakującemu zdalne wpływanie na integralność systemu oraz powodowanie przerw w dostępności usług.

▸ Pokaż oryginał (EN)

From Eclipse OpenJ9 0.15 to 0.16, access to diagnostic operations such as causing a GC or creating a diagnostic file are permitted without any privilege checks.

🤖 Analiza AI

Jak działa

Podatność wynika z braku mechanizmów sprawdzania uprawnień (privilege checks) przed wykonaniem wrażliwych operacji diagnostycznych środowiska uruchomieniowego JVM. Atakujący sieciowy, bez konieczności uwierzytelniania ani interakcji ze strony użytkownika, może wywołać operacje takie jak wymuszone uruchomienie garbage collectora lub wygenerowanie pliku diagnostycznego. Brak kontroli dostępu (CWE-285) w połączeniu z nieprawidłowym zarządzaniem uprawnieniami (CWE-269) sprawia, że każdy klient sieciowy może nadużyć tych funkcji.

Skutki

Atakujący może zakłócić działanie aplikacji opartych na Eclipse OpenJ9 poprzez wymuszanie operacji GC (degradacja wydajności lub niedostępność usługi) oraz tworzyć pliki diagnostyczne, co może prowadzić do nieuprawnionej modyfikacji systemu plików i naruszenia integralności środowiska.

Mitygacja

Należy zaktualizować Eclipse OpenJ9 do wersji wyższej niż 0.16, w której wprowadzono właściwe kontrole uprawnień. Użytkownicy produktów Red Hat powinni zastosować patche wskazane w erratach: RHSA-2019:4113, RHSA-2019:4115, RHSA-2020:0006 oraz RHSA-2020:0046, dostępnych na portalu Red Hat Customer Portal.

Kogo dotyczy

Eclipse OpenJ9 w wersjach od 0.15 do 0.16; produkty Red Hat oparte na tych wersjach JVM: Red Hat Satellite, Red Hat Enterprise Linux, Red Hat Enterprise Linux Desktop.