BDU:2024-11498: Уязвимость компонентов Hotspot программной платформы Oracle Java SE, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Детали уязвимости BDU:2024-11498
Описание
Уязвимость компонентов Hotspot программной платформы Oracle Java SE связана с раскрытием информации через несоответствие. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации
Что делать с BDU:2024-11498
Низкая уязвимость (CVSS 3.7) — устраните при плановом обновлении. Если уязвимый компонент не используется в критичных системах, риск минимален.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:LAV:N/AC:H/Au:N/C:N/I:N/A:PCWE — тип уязвимости
CVE — международный идентификатор
Тактики и техники
Уязвимое ПО (13)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| Oracle Corp. | Java SE | 17.0.2 | Не указана |
| АО «НТЦ ИТ РОСА» | РОСА Кобальт | 7.9 | Не указана |
| АО «ИВК» | АЛЬТ СП 10 | - | Не указана |
| Oracle Corp. | Java SE | 8u421 | Не указана |
| Oracle Corp. | Java SE | 8u421-perf | Не указана |
| Oracle Corp. | Java SE | 11.0.24 | Не указана |
| Oracle Corp. | Java SE | 21.0.4 | Не указана |
| Oracle Corp. | Java SE | 23 | Не указана |
| Axiom JDK | Axiom AxiomJDK | до 11.0.24.0.1 | Не указана |
| Axiom JDK | Axiom AxiomJDK | до 17.0.12.0.1 | Не указана |
| Axiom JDK | Axiom AxiomJDK | до 21.0.4.0.1 | Не указана |
| АО «НППКТ» | ОСОН ОСнова Оnyx | до 2.13 | Не указана |
Среды функционирования (4)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| АО «НТЦ ИТ РОСА» | РОСА Кобальт | 7.9 | Не указана |
| АО «ИВК» | АЛЬТ СП 10 | - | Не указана |
| АО «НППКТ» | ОСОН ОСнова Оnyx | до 2.13 | Не указана |
Рекомендации по устранению
Использование рекомендаций: https://www.oracle.com/security-alerts/cpuoct2024.html Для ОС АЛЬТ 8 СП (Релиз 10): установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/ Для AxiomJDK: https://axiomjdk.ru/pages/downloads/ Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ Обновление программного обеспечения openjdk-11 до версии 11.0.27+6.repack-1~deb11u1.osnova2u1 Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2025-2790 Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2025-2789
SLA ФСТЭК №117
По регламенту
по базовой оценке CVSS 3.7
Уточните SLA под вашу среду
Базовый балл 3.7 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать
Низкий текущий риск. Устраните при плановом обновлении.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2024-10-16
Опубликована
2024-12-25
Обновлена
2025-08-19
Эксплойт
Данные уточняются
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.
- Уязвимости → активы → ответственные — цепочка за минуту
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость функции decode() ASN.1 библиотеки pyasn1 языка программирования Python, позволяющая нарушителю вызвать отказ
Уязвимость компонента JSSE программной платформы Oracle Java SE, виртуальных машин Oracle GraalVM for JDK и Oracle Graal
Уязвимость функции tcp_v4_syn_recv_sock() реализации протокола IPv4 ядра операционной системы Linux, позволяющая нарушит
Уязвимость компонента irqchip/renesas-rzg2l ядра операционной системы Linux, позволяющая нарушителю вызвать отказ в обсл
Уязвимость ядра операционной системы Linux, связанная с чтением за допустимыми границами буфера данных, позволяющая нару
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Расчёт срока устранения: 24 ч для критических, 7 дней для высоких
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.
