Eclipse OpenJ9 安全缝隙安全公告

颁布功夫 2019-07-03

缝隙编号和级别


CVE编号：：CVE-2018-12547 ，，，危险级别：：严重 ，，，CVSS分值：：9.8


影响版本


受影响的版本


IBM and Eclipse Foundation OpenJ9 0.11


缝隙概述


OpenJ9是IBM自1997年以来一向主推的高机能JVM产品 ，，，是IBM Java产品中的主题组件 ，，，险些所有IBM成熟产品都依赖于OpenJ9 ，，，因而仅IBM自主产品就有400+受到此缝隙影响 ，，，具体列表见链接：：https://exchange.xforce.ibmcloud.com/vulnerabilities/157512。。不仅IBM的全线产品依赖OpenJ9 ，，，因其在2017年已开源 ，，，无数追求机能的第三方盛行软件也都起头使用OpenJ9。。


该缝隙属于缓冲区溢出缝隙 ，，，出问题的是OpenJ9的基础函数jio_snprintf()和jio_vsnprintf() ，，，由于不足对参数长度的严格查抄 ，，，导致能够执行肆意号令甚至获得操作系统root权限。。


缝隙验证


暂无POC/EXP。。


修复建议


IBM已推出补丁 ，，，建议用户升级OpenJ9到最新版本。。


参考链接


https://exchange.xforce.ibmcloud.com/vulnerabilities/157512