PT-2021-17786 · Eclipse · Eclipse Openj9

Zekerzhayardo · Publicado 2021-04-21 · Atualizado 2024-06-21 · CVE-2021-28167

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Eclipse Openj9 anteriores à 0.25.0

Descrição:

O problema decorre do uso da API jdk.internal.reflect.ConstantPool, que, em alguns casos, faz com que a JVM resolva antecipadamente certas entradas do pool de constantes. Isso permite que um usuário chame métodos estáticos ou acesse membros estáticos sem executar o método de inicialização da classe, possibilitando potencialmente a observação de valores não inicializados.

Recomendações:

Para versões do Eclipse Openj9 anteriores à 0.25.0, considere evitar o uso da API jdk.internal.reflect.ConstantPool até que um patch esteja disponível. Como solução alternativa temporária, restrinja o acesso a métodos e membros estáticos para minimizar o risco de exploração.

Exploit

Correção

Enumeração de Fraquezas

CWE-909

Identificadores relacionados

CVE-2021-28167

Produtos afetados

Eclipse Openj9

Referências · 5

• 🔥 https://github.com/eclipse/openj9/issues/12016 · Exploit
• https://t.me/cvenotify/84074 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-28167 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-28167 · Aviso do Fabricante
• https://security.netapp.com/advisory/ntap-20240621-0006 · Nota