CVE-2024-20919

Oracle Java SE versões 8u391, 8u391-perf, 11.0.21, 17.0.9, 21.0.1

Oracle GraalVM para JDK versões 17.0.9, 21.0.1

Oracle GraalVM Enterprise Edition versões 20.3.12, 21.3.8, 22.3.4

O problema existe devido à validação insuficiente de entradas no componente Hotspot do Oracle Java SE e do Oracle GraalVM. Essa vulnerabilidade pode ser explorada por um invasor não autenticado com acesso à rede por meio de vários protocolos, permitindo que ele comprometa o Oracle Java SE, Oracle GraalVM para JDK e Oracle GraalVM Enterprise Edition. Ataques bem-sucedidos podem resultar em acesso não autorizado para criação, exclusão ou modificação de dados críticos ou de todos os dados acessíveis. A vulnerabilidade só pode ser explorada fornecendo dados às APIs no componente especificado sem usar aplicativos Java Web Start não confiáveis ou miniaplicativos Java não confiáveis, como por meio de um serviço web.

Para as versões 8u391, 8u391-perf, 11.0.21, 17.0.9 e 21.0.1 do Oracle Java SE, atualize para uma versão que inclua a correção para esta vulnerabilidade.

Para as versões 17.0.9 e 21.0.1 do Oracle GraalVM para JDK, atualize para uma versão que inclua a correção para esta vulnerabilidade.

Para as versões 20.3.12, 21.3.8 e 22.3.4 do Oracle GraalVM Enterprise Edition, atualize para uma versão que inclua a correção para esta vulnerabilidade.

Como solução alternativa temporária, considere restringir o acesso ao componente Hotspot e limitar o uso de APIs que possam ser exploradas por meio de um serviço web.