Vulnerabilidad en JDK DNS Cache (CVE-2023-26438)

Gravedad CVSS v3.1:

BAJA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

02/08/2023

Última modificación:

12/01/2024

Descripción

Las búsquedas de servicios externos para una serie de protocolos eran vulnerables a una debilidad de condición de carrera de tiempo de comprobación/tiempo de uso (TOCTOU), que afectaba a JDK DNS Cache. Los atacantes que sincronizaban correctamente la expiración de la caché DNS podían inyectar una configuración que eludía las listas de denegación de red existentes. Los atacantes podían explotar esta debilidad para descubrir la existencia de una infraestructura de red restringida y la disponibilidad del servicio. Se introdujeron mejoras para incluir de denegación no sólo durante la comprobación de los datos de conexión proporcionados, sino también durante el uso. No se conocen exploits disponibles públicamente.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 3.10 BAJA
Vector: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno