摘要:
openjdk-11 security update
安全等级: Medium
公告ID: KylinSec-SA-2024-4388
发布日期: 2024年11月22日
关联CVE: CVE-2024-21208 CVE-2024-21210 CVE-2024-21211 CVE-2024-21217 CVE-2024-21235
OpenJDK运行时环境。
安全修复：
Oracle Java SE、Oracle GraalVM for JDK和Oracle GraalVM Enterprise Edition产品中的Oracle Java SE（组件：Networking）。受影响的支持版本包括Oracle Java SE：8u421、8u421-perf、11.0.24、17.0.12、21.0.4、23；Oracle GraalVM for JDK：17.0.12、21.0.4、23；Oracle GraalVM Enterprise Edition：20.3.15和21.3.11。这个难以利用的漏洞允许未经身份验证的攻击者通过网络访问多种协议来破坏Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。成功利用此漏洞可能导致未经授权的能力，导致Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition的部分拒绝服务（部分DOS）。注意：此漏洞适用于Java部署，通常是客户端运行沙盒化的Java Web Start应用程序或沙盒化的Java小程序，这些程序加载并运行不受信任的代码（例如，来自互联网的代码）并依赖Java沙箱进行安全保护。此漏洞不适用于Java部署，通常是服务器上，只加载并运行受信任的代码（例如，由管理员安装的代码）。CVSS 3.1基础分数3.7（可用性影响）。CVSS向量：(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2024-21208)
Oracle Java SE产品中的Oracle Java SE（组件：Hotspot）。受影响的支持版本包括Oracle Java SE：8u421、8u421-perf、11.0.24、17.0.12、21.0.4和23。这个难以利用的漏洞允许未经身份验证的攻击者通过网络访问多种协议来破坏Oracle Java SE。成功利用此漏洞可能导致未经授权的更新、插入或删除访问Oracle Java SE的一些可访问数据。注意：此漏洞可以通过使用指定组件中的API来利用，例如通过向API提供数据的Web服务。此漏洞也适用于Java部署，通常是客户端运行沙盒化的Java Web Start应用程序或沙盒化的Java小程序，这些程序加载并运行不受信任的代码（例如，来自互联网的代码）并依赖Java沙箱进行安全保护。CVSS 3.1基础分数3.7（完整性影响）。CVSS向量：(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N)。(CVE-2024-21210)
Oracle Java SE、Oracle GraalVM for JDK和Oracle GraalVM Enterprise Edition产品中的Oracle Java SE（组件：Compiler）。受影响的支持版本包括Oracle Java SE：23；Oracle GraalVM for JDK：17.0.12、21.0.4、23；Oracle GraalVM Enterprise Edition：20.3.15和21.3.11。这个难以利用的漏洞允许未经身份验证的攻击者通过网络访问多种协议来破坏Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。成功利用此漏洞可能导致未经授权的更新、插入或删除访问Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition的一些可访问数据。注意：此漏洞可以通过使用指定组件中的API来利用，例如通过向API提供数据的Web服务。此漏洞也适用于Java部署，通常是客户端运行沙盒化的Java Web Start应用程序或沙盒化的Java小程序，这些程序加载并运行不受信任的代码（例如，来自互联网的代码）并依赖Java沙箱进行安全保护。CVSS 3.1基础分数3.7（完整性影响）。CVSS向量：(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N)。(CVE-2024-21211)
Oracle Java SE、Oracle GraalVM for JDK和Oracle GraalVM Enterprise Edition产品中的Oracle Java SE（组件：Serialization）。受影响的支持版本包括Oracle Java SE：8u421、8u421-perf、11.0.24、17.0.12、21.0.4、23；Oracle GraalVM for JDK：17.0.12、21.0.4、23；Oracle GraalVM Enterprise Edition：20.3.15和21.3.11。这个难以利用的漏洞允许未经身份验证的攻击者通过网络访问多种协议来破坏Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。成功利用此漏洞可能导致未经授权的能力，导致Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition的部分拒绝服务（部分DOS）。注意：此漏洞可以通过使用指定组件中的API来利用，例如通过向API提供数据的Web服务。此漏洞也适用于Java部署，通常是客户端运行沙盒化的Java Web Start应用程序或沙盒化的Java小程序，这些程序加载并运行不受信任的代码（例如，来自互联网的代码）并依赖Java沙箱进行安全保护。CVSS 3.1基础分数3.7（可用性影响）。CVSS向量：(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2024-21217)
Oracle Java SE、Oracle GraalVM for JDK和Oracle GraalVM Enterprise Edition产品中的Oracle Java SE（组件：Hotspot）。受影响的支持版本包括Oracle Java SE：8u421、8u421-perf、11.0.24、17.0.12、21.0.4、23；Oracle GraalVM for JDK：17.0.12、21.0.4、23；Oracle GraalVM Enterprise Edition：20.3.15和21.3.11。这个难以利用的漏洞允许未经身份验证的攻击者通过网络访问多种协议来破坏Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。成功利用此漏洞可能导致未经授权的更新、插入或删除访问Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition的一些可访问数据，以及未经授权的读取访问Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition的子集可访问数据。注意：此漏洞可以通过使用指定组件中的API来利用，例如通过向API提供数据的Web服务。此漏洞也适用于Java部署，通常是客户端运行沙盒化的Java Web Start应用程序或沙盒化的Java小程序，这些程序加载并运行不受信任的代码（例如，来自互联网的代码）并依赖Java沙箱进行安全保护。CVSS 3.1基础分数4.8（机密性和完整性影响）。CVSS向量：(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N)。(CVE-2024-21235)
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2024-21208 | KY3.4-5A | openjdk-11 | Fixed |
| CVE-2024-21210 | KY3.4-5A | openjdk-11 | Fixed |
| CVE-2024-21211 | KY3.4-5A | openjdk-11 | Fixed |
| CVE-2024-21217 | KY3.4-5A | openjdk-11 | Fixed |
| CVE-2024-21235 | KY3.4-5A | openjdk-11 | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| java-11-openjdk | x86_64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-demo | x86_64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-devel | x86_64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-headless | x86_64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-javadoc | x86_64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-javadoc-zip | x86_64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-jmods | x86_64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-src | x86_64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk | aarch64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-demo | aarch64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-devel | aarch64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-headless | aarch64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-javadoc | aarch64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-javadoc-zip | aarch64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-jmods | aarch64 | 11.0.25.9-3.kb1.ky3_4 |
| java-11-openjdk-src | aarch64 | 11.0.25.9-3.kb1.ky3_4 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
