甲骨文修复 Java “年度加密漏洞”，影响 Java 15 及以上版本-低调大师

甲骨文修复 Java “年度加密漏洞”，影响 Java 15 及以上版本

2022-04-21 531

甲骨文于昨日推送了安全更新修复了一个漏洞，该漏洞允许攻击者伪造某些种类的 SSL 证书和握手、双因素认证信息，以及由一系列广泛使用的开放标准产生的授权凭证。这使得攻击者可以轻松地对文件和其他数据进行数字签名。

该漏洞影响了 Java 15 及以上版本中对 ECDSA（椭圆曲线数字签名算法）的实现。ECDSA 是一种利用椭圆曲线密码学原理对信息进行数字认证的算法。与 RSA 或其他加密算法相比，ECDSA 的一个关键优势是它生成的密钥较小，非常适合用于包括基于 FIDO 的 2FA、SMAL 和 OpenID 等标准。

这个漏洞的 CVE ID 为 CVE-2022-21449，最初是由 ForgeRock 安全研究员 Neil Madden 所发现的，他在漏洞说明中写道：

如果你在这些安全机制中使用 ECDSA 签名，并且如果你的服务器在 2022 年 4 月关键补丁更新（CPU）之前运行任何 Java 15、16、17 或 18 版本，攻击者就可以轻而易举地完全绕过它们。如今几乎所有的 WebAuthn/FIDO 设备（包括 Yubikeys）都使用 ECDSA 签名，许多 OIDC 提供商也在使用 ECDSA 签名的 JWT。

Madden 指出，上述这些受影响的 Java 版本主要是因为它们未能检查 ECDSA 中的两个关键变量，以确保它们是非零的。

ECDSA 签名依赖于一个伪随机数，通常表示为 K，用于推导两个额外的数字 R 和 S。要验证签名是否有效，必须检查涉及 R 和 S 的等式。当等式两边相等时，签名才有效。为了使过程正常工作，R 和 S 都不能为零。

这是因为如果值都是 0，等式两边将始终相等，签名也就一直有效。这意味着只需提交一个空白签名即可成功通过验证检查。

这个 bug 是由相关代码从 C++ 改写成 Java 时引入的，漏洞最早可以追溯到 2020 年 Java 15 发布的时候。该 bug 在去年 11 月就已被发现并报告给了甲骨文，而甲骨文在推出的 4 月关键补丁更新（CPU）中修复了该问题。

甲骨文在通用漏洞评分系统（Common Vulnerability Scoring System）中将该漏洞的严重性评级为 7.5（满分 10 分），但 Madden 根据他自己的评估，认为该漏洞的严重性评级为 10 分。除了 Madden 认为该漏洞十分严重，另一位安全专家 Thomas Ptacek 更是将该漏洞评为 “年度加密漏洞”（crypto bug of the year）。

目前 Java 15 及以上版本并没有像 Java 早期版本那样被开发者广泛使用。安全公司 Snyk 在 2021 年统计的数据显示，当时 Java 15 仅占了 12% 的份额。

微信关注我们

原文链接：https://www.oschina.net/news/192162/signatures-in-java

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Yandex 在 GitHub 开源 YDB 数据库

Yandex 日前宣布，他们将已在内部使用多年的 YDB（Yandex Database）数据库开源。根据官方的说法，YDB 具有容错性、水平可扩展性，以及强一致性和对 ACID 事务的支持。该系统的可靠性在 Yandex 的 IT 基础设施中进行了测试，并已被 Yandex 使用了 5 年时间。 YDB 的特点：容错配置：YDB 设计为在三个可用区工作，在磁盘、节点，甚至数据中心中断的情况下也能确保可用性；可扩展性：添加或删除节点以根据需要轻松扩展和缩减，YDB 可以在实际生产中使用每秒数百万个事务和 PB 级数据；自动容灾：在磁盘、服务器甚至数据中心发生故障后自动恢复，将应用程序的延迟中断降至最低；用于数据操作和方案定义的 SQL 方言（YQL）；跨多个节点和表的 ACID 事务，具有严格的一致性；支持的编程语言： Go Java JavaScript PHP Python Yandex 在新闻稿中表示：我们相信，如果没有开源编程，我们在近几十年看到的技术快速发展将无法实现。如今我们也无法想象没有 MySQL、PostgreSQL 或 ClickHouse 的互联网会...

2022-04-21

593

去年 12 月，Ruby JIT 团队的成员提出，希望将 YJIT 代码库从 C99 移植到 Rust。虽然有不少开发者对此持保留意见，但这个项目最终得到了 Ruby 核心开发者以及创始人 Matz 的批准。昨日，负责此项目的开发者表示已完成了使用 Rust 实现的 Ruby YJIT 编译器，可有效取代现有的 C 版本，目前正在等待上游合并。据介绍，Rust 版本的 YJIT 编译器与 C 版本具有相同的水平，因为它通过了所有的 CRuby 测试，也能够运行所有 YJIT 基准测试，并且性能与 C 版本基本一致（它以相同的方式运行，并且基本生成了相同的机器代码）。此外，开发团队还加入了一些设计改进，例如更细粒度的常量失效机制，预计这将在 Ruby on Rails 应用程序中发挥巨大作用。默认情况下，YJIT 不会被编译，也不需要 cargo/rustc。如果 YJIT 在 dev 模式下构建，则cargo用于获取开发依赖项，但在 release 中构建时，cargo不是必需的，只需要有rustc。目前 YJIT 要求使用 Rust 1.60.0 或更新的版本。按照计划，Ru...

2022-04-21

653

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。