Một mã bằng chứng về khái niệm (PoC) thể hiện lỗ hổng bỏ qua chữ ký số mới được tiết lộ trong Java đã được chia sẻ trực tuyến.
Lỗ hổng có mức độ nghiêm trọng cao được đề cập, CVE-2022-21449 (điểm CVSS: 7,5), ảnh hưởng đến phiên bản sau của Java SE và Oracle GraalVM Enterprise Edition –
Oracle Java SE: 7u331, 8u321, 11.0.14, 17.0.2, 18 Oracle GraalVM Enterprise Edition: 20.3.5, 21.3.1, 22.0.0.2
Vấn đề nằm ở việc Java triển khai Thuật toán chữ ký kỹ thuật số đường cong Elliptic (ECDSA), một cơ chế mật mã để ký kỹ thuật số các tin nhắn và dữ liệu để xác minh tính xác thực và tính toàn vẹn của nội dung.
Tóm lại, sai lầm về mật mã – được gọi là Chữ ký ngoại cảm trong Java – khiến nó có thể tạo ra một chữ ký hoàn toàn trống, chữ ký này vẫn được coi là hợp lệ khi triển khai dễ bị tấn công.
Việc khai thác thành công lỗ hổng có thể cho phép kẻ tấn công giả mạo chữ ký và bỏ qua các biện pháp xác thực được áp dụng.
PoC, được xuất bản bởi nhà nghiên cứu bảo mật, Khaled Nassar liên quan đến một máy khách dễ bị tấn công và một máy chủ TLS độc hại, máy chủ này chấp nhận chữ ký không hợp lệ từ máy chủ, cho phép bắt tay TLS tiếp tục một cách hiệu quả mà không bị cản trở.
Nhà nghiên cứu Neil Madden của ForgeRock, người đã phát hiện và báo cáo lỗ hổng này vào ngày 11 tháng 11 năm 2021, cho biết: “Thật khó để nói quá mức độ nghiêm trọng của lỗi này.
“Nếu bạn đang sử dụng chữ ký ECDSA cho bất kỳ cơ chế bảo mật nào trong số này, thì kẻ tấn công có thể bỏ qua chúng một cách dễ dàng và hoàn toàn nếu máy chủ của bạn đang chạy bất kỳ phiên bản Java 15, 16, 17 hoặc 18 nào.”
Vấn đề kể từ đó đã được Oracle giải quyết trong khuôn khổ Bản cập nhật bản vá quan trọng (CPU) hàng quý vào tháng 4 năm 2022 được phát hành vào ngày 19 tháng 4 năm 2022.
Căn cứ vào việc phát hành PoC, các tổ chức sử dụng Java 15, Java 16, Java 17 hoặc Java 18 trong môi trường của họ được khuyến nghị ưu tiên các bản vá để giảm thiểu việc khai thác tích cực.
.
