こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。
04月19日に四半期恒例のOracle Critical Patch UpdateでOracle Javaの脆弱性()が公開されました。今回はこちらのJavaの脆弱性についてまとめてみます。
情報は分かり次第追記・更新します。
[関連リンク(最新5件)]
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Jan 2022)
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Oct 2021)
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Jul 2021)
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Apr 2021)
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Jan 2021)
関連するCVE
CVE概要(詳細はCVEのサイトをご確認ください)
- CVE-2022-0778
- 影響するバージョン：Oracle GraalVM Enterprise Edition: 20.3.5, 21.3.1, 22.0.0.2
- サブコンポーネント: Node (OpenSSL)
- OpenSSLの脆弱性になります。
- CVE-2022-21449
- 影響するバージョン：Oracle Java SE: 7u331, 8u321, 11.0.14, 17.0.2, 18; Oracle GraalVM Enterprise Edition: 20.3.5, 21.3.1, 22.0.0.2
- サブコンポーネント: Libraries
- CVSS 3.0 Base Score 7.5
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
- CVE-2022-21476
- 影響するバージョン：Oracle Java SE: 7u331, 8u321, 11.0.14, 17.0.2, 18; Oracle GraalVM Enterprise Edition: 20.3.5, 21.3.1, 22.0.0.2
- サブコンポーネント: Libraries
- CVSS 3.0 Base Score 7.5
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
- CVE-2022-21426
- 影響するバージョン：Oracle Java SE: 7u331, 8u321, 11.0.14, 17.0.2, 18; Oracle GraalVM Enterprise Edition: 20.3.5, 21.3.1, 22.0.0.2
- サブコンポーネント: JAXP
- CVSS 3.0 Base Score 5.3
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
- CVE-2022-21496
- 影響するバージョン：Oracle Java SE: 7u331, 8u321, 11.0.14, 17.0.2, 18; Oracle GraalVM Enterprise Edition: 20.3.5, 21.3.1, 22.0.0.2
- サブコンポーネント: JNDI
- CVSS 3.0 Base Score 5.3
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
- CVE-2022-21434
- 影響するバージョン：Oracle Java SE: 7u331, 8u321, 11.0.14, 17.0.2, 18; Oracle GraalVM Enterprise Edition: 20.3.5, 21.3.1, 22.0.0.2
- サブコンポーネント: Libraries
- CVSS 3.0 Base Score 5.3
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
- CVE-2022-21443
- 影響するバージョン：Oracle Java SE: 7u331, 8u321, 11.0.14, 17.0.2, 18; Oracle GraalVM Enterprise Edition: 20.3.5, 21.3.1, 22.0.0.2
- サブコンポーネント: Libraries
- CVSS 3.0 Base Score 3.7
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
- https://security-tracker.debian.org/tracker/CVE-2022-0778
- https://security-tracker.debian.org/tracker/CVE-2022-21449
- https://security-tracker.debian.org/tracker/CVE-2022-21476
- https://security-tracker.debian.org/tracker/CVE-2022-21426
- https://security-tracker.debian.org/tracker/CVE-2022-21496
- https://security-tracker.debian.org/tracker/CVE-2022-21434
- https://security-tracker.debian.org/tracker/CVE-2022-21443
- Red Hat Enterprise Linux/CentOS
- https://access.redhat.com/security/cve/CVE-2022-0778
- https://access.redhat.com/security/cve/CVE-2022-21449
- https://access.redhat.com/security/cve/CVE-2022-21476
- https://access.redhat.com/security/cve/CVE-2022-21426
- https://access.redhat.com/security/cve/CVE-2022-21496
- https://access.redhat.com/security/cve/CVE-2022-21434
- https://access.redhat.com/security/cve/CVE-2022-21443
- SUSE/openSUSE
- https://www.suse.com/security/cve/CVE-2022-0778.html
- https://www.suse.com/security/cve/CVE-2022-21449.html
- https://www.suse.com/security/cve/CVE-2022-21476.html
- https://www.suse.com/security/cve/CVE-2022-21426.html
- https://www.suse.com/security/cve/CVE-2022-21496.html
- https://www.suse.com/security/cve/CVE-2022-21434.html
- https://www.suse.com/security/cve/CVE-2022-21443.html
- Ubuntu
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。
日々のメモを更新しています。
セキュリティ関係ニュースを更新しています。個別で情報出せるようになる前の簡単な情報・リンクなんかも載せていきます。
