CVE-2018-3149

Oracle Java SE-nin Java SE, Java SE Embedded və JRockit komponentlərində (altkomponent: JNDI) zəiflik aşkar edilmişdir. Təsirə məruz qalan dəstəklənən versiyalar bunlardır: Java SE: 6u201, 7u191, 8u182 və 11; Java SE Embedded: 8u181; JRockit: R28.3.19. İstismarı çətin olan bu zəiflik, müxtəlif protokollar vasitəsilə şəbəkə girişinə malik autentifikasiya olunmamış hücumçunun Java SE, Java SE Embedded və JRockit sistemlərini kompromis etməsinə imkan verir. Uğurlu hücumlar üçün hücumçudan başqa bir şəxsin qarşılıqlı əlaqəsi tələb olunur və zəiflik Java SE, Java SE Embedded və JRockit-də olsa da, hücumlar digər məhsullara da ciddi təsir göstərə bilər. Bu zəifliyin uğurlu istismarı Java SE, Java SE Embedded və JRockit-in tam nəzarətinin ələ keçirilməsi ilə nəticələnə bilər. Qeyd: Bu zəiflik, adətən "sandbox" mühitində işləyən Java Web Start tətbiqləri və ya "sandbox" Java applet-lərini (Java SE 8-də) işlədən, etibarsız kodu (məsələn, internetdən gələn kodu) yükləyib icra edən və təhlükəsizlik üçün Java "sandbox"-una güvənən Java tətbiqlərinə şamil edilir. Bu zəiflik həmçinin qeyd olunan Komponentdəki API-lardan, məsələn, API-lara məlumat təmin edən veb xidmət vasitəsilə də istismar edilə bilər. CVSS 3.0 baza balı 8.3-dür (Məxfilik, Bütövlük və Əlçatanlığa təsirlər). CVSS vektoru: (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H).