检测

Java Psychic 签名

high Web App Scanning 插件 ID 113242

语言：

简介

Java Psychic 签名

描述

Oracle Java SE 版本 15、17 和 18 以及 Oracle GraalVM Enterprise Edition 版本 21.3.1 和 22.0.0.2 未正确验证基于签名的椭圆曲线数字签名算法 (ECDSA)。通过将签名的 `r` 和 `s` 组件值强制设为零，攻击者可以为任何消息和公钥伪造有效签名，而受攻击的库或组件版本可以接受这些消息和公钥。攻击者可利用此漏洞，绕过任何依赖此算法及其 Java 实现的安全机制。

解决方案

在易受攻击的组件上应用 2022 年 4 月起的 Oracle 关键补丁更新。

另见

https://neilmadden.blog/2022/04/19/psychic-signatures-in-java/

https://www.oracle.com/security-alerts/cpuapr2022.html

插件详情

严重性: High

ID: 113242

类型: remote

发布时间: 2022/6/28

最近更新时间: 2024/1/8

扫描模板: api, basic, full, pci, scan

风险信息

VPR

风险因素: Medium

分数: 4.4

CVSS v2

风险因素: Medium

基本分数: 5

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N

CVSS 分数来源: CVE-2022-21449

CVSS v3

风险因素: High

基本分数: 7.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

CVSS 分数来源: CVE-2022-21449

漏洞信息

可利用: true

易利用性: Exploits are available

参考资料信息

CVE: CVE-2022-21449