安華金和攻防實(shí)驗(yàn)室2018年提交給IBM的OpenJ9漏洞于近日完成修復(fù),IBM推出補(bǔ)丁。由于這個(gè)漏洞(CVE-2018-12547)影響IBM產(chǎn)品多達(dá)400+、攻擊復(fù)雜度低、危害大,CVE漏洞危害評(píng)分高達(dá)9.8。安華金和特此向廣大用戶告警,提醒OpenJ9用戶及時(shí)下載IBM官網(wǎng)最新公布的補(bǔ)丁。
OpenJ9是IBM自1997年以來一直主推的高性能JVM產(chǎn)品,是IBM Java產(chǎn)品中的核心組件。幾乎所有IBM成熟產(chǎn)品都依賴于OpenJ9,僅IBM自主產(chǎn)品就有419個(gè)產(chǎn)品受到此漏洞影響具體列表請(qǐng)見下面的鏈接。不僅IBM全線產(chǎn)品依賴OpenJ9,由于2017年OpenJ9開源,無數(shù)追求性能的第三方流行軟件也都使用了OpenJ9。我們有理由相信該高危漏洞影響的主流產(chǎn)品不下千款。IBM特此對(duì)于安華金和在安全研究方面所做出的努力和貢獻(xiàn)進(jìn)行了特別的感謝。
漏洞概要
更多漏洞詳細(xì)信息請(qǐng)參閱IBM 2019年6月30日官方發(fā)布的公告信息
漏洞影響
該漏洞屬于緩沖區(qū)溢出漏洞,出問題的是OpenJ9的基礎(chǔ)函數(shù)jio_snprintf()和 jio_vsnprintf(),由于缺乏對(duì)參數(shù)長(zhǎng)度的嚴(yán)格檢查,導(dǎo)致使用特定的POC可以執(zhí)行任意命令甚至獲得操作系統(tǒng)root權(quán)限。
防范措施
建議用戶升級(jí)OpenJ9升級(jí)到最新版本。同時(shí)安華金和數(shù)據(jù)庫安全評(píng)估系統(tǒng)最新版本也可以檢測(cè)該漏洞。建議安華金和數(shù)據(jù)庫安全漏洞評(píng)估系統(tǒng)用戶升級(jí)到最新版本檢查并修復(fù)此漏洞。沒有購買該系統(tǒng)的用戶也可以微信關(guān)注“安華金和服務(wù)平臺(tái)”回復(fù)關(guān)鍵詞“ibm”獲取腳本進(jìn)行本地檢測(cè)。
- 為什么年輕人不愛換手機(jī)了
- 柔宇科技未履行金額近億元被曝已6個(gè)月發(fā)不出工資
- 柔宇科技被曝已6個(gè)月發(fā)不出工資 公司回應(yīng)欠薪有補(bǔ)償方案
- 第六座“綠動(dòng)未來”環(huán)保公益圖書館落地貴州山區(qū)小學(xué)
- 窺見“新紀(jì)元”，2021元宇宙產(chǎn)業(yè)發(fā)展高峰論壇“廣州啟幕”
- 以人為本，景悅科技解讀智慧城市發(fā)展新理念
- 紐迪瑞科技/NDT賦能黑鯊4 Pro游戲手機(jī)打造全新一代屏幕壓感
- 清潔家電新老玩家市場(chǎng)定位清晰，攜手共進(jìn)，核心技術(shù)決定未來
- 新思科技與芯耀輝在IP產(chǎn)品領(lǐng)域達(dá)成戰(zhàn)略合作伙伴關(guān)系
- 芯耀輝加速全球化部署，任命原Intel高管出任全球總裁
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。
