Azul Zulu Java 多個弱點 (2026-01-20)
high Nessus Plugin ID 294803
語言:
概要
Azul Zulu OpenJDK 受到多個弱點影響。說明
遠端主機上安裝的 Azul Zulu 版本是 6.77.0.12 之前的 6 版 / 7.83.0.12 之前的 7 版 / 8.91.0.12 之前的 8 版 / 11.85.12 之前的 11 版 / 17.63.12 之前的 17 版 / 21.47.14 之前的 21 版 / 25.31.14 之前的 25 版。因此，會受到 2026-01-20 公告中所提及的多個弱點影響。- 將資料新增至字串時，在 GLib 的 GString 管理記憶體的方式中發現一個缺陷。如果字串已經非常大，將其與更多輸入合併可能會在大小計算時造成隱藏的溢位。這會使得系統認為其擁有足夠的記憶體，然而其實並沒有。因此，寫入的資料可能超過所分配記憶體的結尾，進而導致當機或記憶體損毀。(CVE-2025-6052)
- 在 libxml2 的 xmlBuildQName 函式中發現一個缺陷，其中緩衝區大小計算中的整數溢位可導致堆疊型緩衝區溢位。此問題可在處理特製輸入時導致記憶體損毀或拒絕服務。 (CVE-2025-6021)
- 在 libxslt 中發現一個瑕疵，其中屬性類型、atype、旗標是以損毀內部記憶體管理的方式進行修改。當 XSLT 函式 (例如 key() 處理程序) 產生樹狀結構片段時，此損毀會防止正確清理 ID 屬性。因此，系統可能會存取已釋放的記憶體，進而造成當機或讓攻擊者觸發堆積損毀。(CVE-2025-7425)
- 已透過改進記憶體管理解決釋放後使用問題。此問題已在 Safari 26、iOS 26 和 iPadOS 26 中修正。處理惡意特製的 Web 內容可能會導致 Safari 意外當機。
(CVE-2025-43368)
- 到 1.26.1 版之前的 GStreamer 中，isomp4 外掛程式的 qtdemux_parse_trak 函式在剖析 MP4 檔案時，會讀取超出堆積緩衝區的範圍，而可能導致資訊洩漏。(CVE-2025-47219)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
按照 2026 年 1 月 Azul Zulu OpenJDK 修補程式更新公告，套用適當的修補程式。另請參閱
https://docs.azul.com/core/release/january-2026/release-notes
Plugin 詳細資訊
嚴重性: High
ID: 294803
檔案名稱: azul_zulu_25_32_17.nasl
版本: 1.1
類型: local
代理程式: windows, macosx, unix
系列: Misc.
已發布: 2026/1/21
已更新: 2026/1/21
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: High
分數: 7.9
CVSS v2
風險因素: High
基本分數: 7.8
時間性分數: 6.1
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 評分資料來源: CVE-2025-6052
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: cpe:/a:azul:zulu
必要的 KB 項目: installed_sw/Java
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/1/20
弱點發布日期: 2025/6/10
參考資訊
CVE: CVE-2025-43368, CVE-2025-47219, CVE-2025-6021, CVE-2025-6052, CVE-2025-7425, CVE-2026-21925, CVE-2026-21932, CVE-2026-21933, CVE-2026-21945, CVE-2026-21947