研究人员公开 CVE-2022-21449 漏洞 PoC 代码

研究人员发现最新发布的 Java 发行版中 ECDSA 签名算法实现中存在安全问题，漏洞 CVE 编号 CVE-2022-21449，CVSS 评分 7.5 分。该漏洞存在于 Java 的 ECDSA 签名算法的实现中，ECDSA 算法是对消息进行签名和验证内容的真实性和完整性的加密机制。攻击者利用该漏洞可以伪造签名和绕过认证过程，攻击者可以轻易地伪造 SSL 证书类型和握手（允许通信的拦截和修改）、签名的 JWT、SAML 证明或 OIDC ID token、甚至 WebAuthn 认证消息。

漏洞影响 Oracle Java SE 和 Oracle GraalVM 企业版以下版本：

Oracle Java SE：7u331、8u321、11.0.14、17.0.2 和 18；
Oracle GraalVM 企业版：20.3.5、21.3.1 和 22.0.0.2。
未经认证的攻击者攻击者利用该漏洞可以通过多个协议访问网络入侵 Oracle Java SE 和 Oracle GraalVM 企业版。攻击成功可以实现对关键数据的非授权创建、删除和修改。此外，该漏洞还可以通过特定组件的 API 来进行利用，比如通过提供数据给 API 的 web 服务。

Khaled Nassar 发布的 PoC 中包含一个有漏洞的客户端和恶意 TLS 服务器允许 TLS 握手继续进行。在 PoC 中，加密（ecdsa）包已经被修改为呈现一个无效的签名，其中 r=s=0（更多参见 ECDSA 具体流程）。有漏洞的客户端会接收来自服务器的无效的签名，允许 TLS 握手的其他部分继续。