CVE-2021-35578

Una vulnerabilidad en el producto Java SE, Oracle GraalVM Enterprise Edition de Oracle Java SE (componente: JSSE). Las versiones compatibles que están afectadas son Java SE: 8u301, 11.0.12, 17; Oracle GraalVM Enterprise Edition: 20.3.3 y 21.2.0. La vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red por medio de TLS comprometer Java SE, Oracle GraalVM Enterprise Edition. Los ataques con éxito de esta vulnerabilidad pueden resultar en una capacidad no autorizada de causar una negación parcial de servicio (DOS parcial) de Java SE, Oracle GraalVM Enterprise Edition. Nota: Esta vulnerabilidad sólo puede ser explotada al suministrar datos a las API en el componente especificado sin usar aplicaciones Java Web Start no confiables o applets Java no confiables, como por ejemplo mediante un servicio web. CVSS 3.1 Puntuación Base 5.3 (impactos en la Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)

An update that fixes 11 vulnerabilities is now available. This update for java-1_8_0-openjdk fixes the following issues. Fixed weak ciphers preferred over stronger ones for TLS. Fixed excessive memory allocation in RTFParser. Fixed excessive memory allocation in RTFReader. Fixed excessive memory allocation in HashMap and HashSet. Fixed certificates with end dates too far in the future can corrupt keystore. Fixed loop in HttpsServer triggered during TLS session close. Fixed incorrect principal selection when using Kerberos Constrained Delegation. Fixed unexpected exception raised during TLS handshake. Fixed excessive memory allocation in BMPImageReader. Fixed incomplete validation of inner class references in ClassFileParser. Fixed non-constant comparison during TLS handshakes. This update was imported from the SUSE:SLE-15:Update update project.