安華金和攻防實驗室2018年提交給IBM的OpenJ9漏洞于近日完成修復,IBM推出補丁。由于這個漏洞(CVE-2018-12547)影響IBM產品多達400+、攻擊復雜度低、危害大,CVE漏洞危害評分高達9.8。安華金和特此向廣大用戶告警,提醒OpenJ9用戶及時下載IBM官網最新公布的補丁。

OpenJ9是IBM自1997年以來一直主推的高性能JVM產品,是IBM Java產品中的核心組件。幾乎所有IBM成熟產品都依賴于OpenJ9,僅IBM自主產品就有419個產品受到此漏洞影響具體列表請見下面的鏈接。不僅IBM全線產品依賴OpenJ9,由于2017年OpenJ9開源,無數追求性能的第三方流行軟件也都使用了OpenJ9。我們有理由相信該高危漏洞影響的主流產品不下千款。IBM特此對于安華金和在安全研究方面所做出的努力和貢獻進行了特別的感謝。

漏洞概要

更多漏洞詳細信息請參閱IBM 2019年6月30日官方發布的公告信息

漏洞影響

該漏洞屬于緩沖區溢出漏洞,出問題的是OpenJ9的基礎函數jio_snprintf()和 jio_vsnprintf(),由于缺乏對參數長度的嚴格檢查,導致使用特定的POC可以執行任意命令甚至獲得操作系統root權限。

防范措施

建議用戶升級OpenJ9升級到最新版本。同時安華金和數據庫安全評估系統最新版本也可以檢測該漏洞。建議安華金和數據庫安全漏洞評估系統用戶升級到最新版本檢查并修復此漏洞。沒有購買該系統的用戶也可以微信關注“安華金和服務平臺”回復關鍵詞“ibm”獲取腳本進行本地檢測。