Компания Oracle опубликовала плановый выпуск обновлений своих продуктов (Critical Patch Update), нацеленный на устранение критических проблем и уязвимостей. В январском обновлении в сумме устранено 397 уязвимости.
В выпусках Java SE 14.0.1, 11.0.7 и 8u251 устранено 15 проблем с безопасностью. Все уязвимости могут быть эксплуатированы удалённо без проведения аутентификации. Наивысший уровень опасности — 8.3, который присвоен проблемам в библиотеках (CVE-2020-2803, CVE-2020-2805). Две уязвимости (в libxslt и JSSE) имеют уровень опасности 8.1 и 7.5.
Кроме проблем в Java SE, наличие уязвимостей обнародовано и в других продуктах Oracle, в том числе:
- 35 уязвимостей в сервере MySQL и 2 уязвимости в реализации клиента MySQL (C API). Наибольший уровень опасности 9.8 присвоен уязвимости CVE-2019-5482, проявляющейся при компиляции с поддержкой cURL. Проблемы устранены в выпусках MySQL Community Server 8.0.20, 5.7.30 и 5.6.49.
- 19 уязвимостей, из которых 7 проблем имеют критический уровень опасности (CVSS больше 8). В том числе устранены уязвимости, используемые в атаках, продемонстрированных на соревновании Pwn2Own 2020 и позволяющие через манипуляции на стороне гостевой системы получить доступ к хост-системе и выполнить код с правами гипервизора. Уязвимости устранены в обновлениях VirtualBox 6.1.6, 6.0.20 и 5.2.40.
- 6 уязвимостей в Solaris. Максимальная степень опасности 8.8 — локально эксплуатируемая проблема в Common Desktop Environment, позволяющая непривилегированному пользователю добиться выполнения кода с правами root. Проблемы также устранены в модуле ядра с реализацией протокола SMB, в Whodo и в SMF команде svcbundle. Проблемы устранены во вчерашнем обновлении Solaris 11.4 SRU 20.
