1. 修復的CVE CVE-2022-21434 Oracle Java SE是美國甲骨文（Oracle）公司的一款用于開發和部署桌面、服務器以及嵌入設備和實時環境中的Java應用程序。Oracle Java SE 中存在輸入驗證錯誤漏洞，該漏洞允許未經身份驗證的攻擊者通過多種協議進行網絡訪問，從而破壞 Oracle Java SE、Oracle GraalVM 企業版。成功攻擊此漏洞可導致對部分 Oracle Java SE、Oracle GraalVM 企業版可訪問數據進行未經授權的更新、插入或刪除訪問。 CVE-2022-34169 Apache Xalan是美國阿帕奇（Apache）基金會的開源軟件庫。Apache Xalan Java XSLT庫存在輸入驗證錯誤漏洞，該漏洞源于在處理惡意的XSLT樣式表時，存在整數截斷問題。這可以用來破壞由內部XSLTC編譯器生成的Java類文件并執行任意的Java字節碼。 CVE-2022-21426 Oracle Java SE是美國甲骨文（Oracle）公司的一款用于開發和部署桌面、服務器以及嵌入設備和實時環境中的Java應用程序。Oracle Java SE 中存在輸入驗證錯誤漏洞，該漏洞允許未經身份驗證的攻擊者通過多種協議進行網絡訪問，從而破壞 Oracle Java SE、Oracle GraalVM 企業版。成功攻擊此漏洞可能會導致未經授權的能力導致 Oracle Java SE、Oracle GraalVM 企業版的部分拒絕服務（部分 DOS）。 CVE-2022-21541 Oracle Java SE是美國甲骨文（Oracle）公司的一款用于開發和部署桌面、服務器以及嵌入設備和實時環境中的Java應用程序。Oracle Java SE(組件： Hotspot)存在輸入驗證錯誤漏洞，該漏洞源于難以利用的漏洞允許未經認證的攻擊者通過多種協議進行網絡訪問，從而破壞了Oracle Java SE、Oracle GraalVM Enterprise Edition。成功攻擊該漏洞可導致對關鍵數據或所有Oracle Java SE、Oracle GraalVM Enterprise Edition可訪問數據的未經授權創建、刪除或修改訪問。注意：該漏洞適用于Java部署，通常是在運行沙盒的Java Web Start應用程序或沙盒的Java小程序的客戶端，加載和運行不受信任的代碼（例如，來自互聯網的代碼）并依賴Java沙盒來確保安全。這個漏洞也可以通過使用指定組件中的API來利用，例如，通過向API提供數據的網絡服務。CVSS 3.1基礎得分5.9（完整性影響）。CVSS向量：（CVSS：3.1/AV：N/AC：H/PR：N/UI：N/S：U/C：N/I：H/A：N）。以下產品及版本受到影響：Oracle Java SE 7u343版本，8u333版本，11.0.15.1版本，17.0.3.1版本和18.0.1.1版本；Oracle GraalVM Enterprise Edition 20.3.6版本，21.3.2版本和22.1.0版本。 CVE-2022-21540 Oracle Java SE是美國甲骨文（Oracle）公司的一款用于開發和部署桌面、服務器以及嵌入設備和實時環境中的Java應用程序。Oracle Java SE(組件： Hotspot)存在輸入驗證錯誤漏洞，該漏洞源于容易被利用的漏洞允許未經認證的攻擊者通過多種協議訪問網絡從而破壞了Oracle Java SE、Oracle GraalVM Enterprise Edition。成功攻擊該漏洞可導致對Oracle Java SE、Oracle GraalVM Enterprise Edition可訪問數據子集的未授權讀取訪問。注意：該漏洞適用于Java部署，通常是在運行沙盒的Java Web Start應用程序或沙盒的Java小程序的客戶端，加載和運行不受信任的代碼（例如，來自互聯網的代碼），并依賴Java沙盒的安全性。這個漏洞也可以通過使用指定組件中的API來利用，例如，通過向API提供數據的網絡服務。CVSS 3.1基礎得分5.3（保密性影響）。CVSS Vector： (CVSS：3.1/AV：N/AC：L/PR：N/UI：N/S：U/C：L/I：N/A：N) 。以下產品及版本受到影響：Oracle Java SE 7u343版本，8u333版本，11.0.15.1版本，17.0.3.1版本和18.0.1.1版本；Oracle GraalVM Enterprise Edition 20.3.6版本，21.3.2版本和22.1.0版本。 CVE-2022-21443 Oracle Java SE是美國甲骨文（Oracle）公司的一款用于開發和部署桌面、服務器以及嵌入設備和實時環境中的Java應用程序。Oracle Java SE 中存在輸入驗證錯誤漏洞，該漏洞允許未經身份驗證的攻擊者通過多種協議進行網絡訪問，從而破壞 Oracle Java SE、Oracle GraalVM 企業版。成功攻擊此漏洞可能會導致未經授權的能力導致 Oracle Java SE、Oracle GraalVM 企業版的部分拒絕服務（部分 DOS）。 CVE-2022-21496 Oracle Java SE是美國甲骨文（Oracle）公司的一款用于開發和部署桌面、服務器以及嵌入設備和實時環境中的Java應用程序。Oracle Java SE存在輸入驗證錯誤漏洞，該漏洞允許未經身份驗證的攻擊者通過多種協議進行網絡訪問，從而破壞 Oracle Java SE、Oracle GraalVM 企業版。成功攻擊此漏洞可導致對部分 Oracle Java SE、Oracle GraalVM 企業版可訪問數據進行未經授權的更新、插入或刪除訪問。注意：此漏洞適用于 Java 部署，通常在運行沙盒 Java Web Start 應用程序或沙盒 Java 小程序的客戶端中，加載和運行不受信任的代碼（例如，來自 Internet 的代碼）并依賴 Java 沙盒來確保安全。也可以通過使用指定組件中的 API 來利用此漏洞，例如，通過向 API 提供數據的 Web 服務。 CVE-2022-21476 Oracle Java SE是美國甲骨文（Oracle）公司的一款用于開發和部署桌面、服務器以及嵌入設備和實時環境中的Java應用程序。Oracle Java SE 的 Oracle GraalVM存在輸入驗證錯誤漏洞，該漏洞允許未經身份驗證的攻擊者通過多種協議進行網絡訪問，從而破壞 Oracle Java SE、Oracle GraalVM 企業版。成功攻擊此漏洞可能導致未經授權訪問關鍵數據或完全訪問所有 Oracle Java SE、Oracle GraalVM 企業版可訪問數據。注意：此漏洞適用于 Java 部署，通常在運行沙盒 Java Web Start 應用程序或沙盒 Java 小程序的客戶端中，加載和運行不受信任的代碼（例如，來自 Internet 的代碼）并依賴 Java 沙盒來確保安全。也可以通過使用指定組件中的 API 來利用此漏洞，例如，通過向 API 提供數據的 Web 服務。 2. 受影響的操作系統及軟件包 ·銀河麒麟桌面操作系統V10 x86_64 架構： openjdk-8-demo、openjdk-8-jdk-headless、openjdk-8-jdk、openjdk-8-jre-headless、openjdk-8-jre-jamvm、openjdk-8-jre-zero、openjdk-8-jre、openjdk-8-source arm64 架構： openjdk-8-demo、openjdk-8-jdk-headless、openjdk-8-jdk、openjdk-8-jre-headless、openjdk-8-jre-zero、openjdk-8-jre、openjdk-8-source mips64el 架構： openjdk-8-demo、openjdk-8-jdk-headless、openjdk-8-jdk、openjdk-8-jre-headless、openjdk-8-jre、openjdk-8-source 3. 軟件包修復版本 ·銀河麒麟桌面操作系統V10 8u342-b07-0kord1~16.044. 修復方法 方法一：升級安裝 執行更新命令進行升級 $sudo apt update $sudo apt install openjdk-8-jdk $sudo apt install openjdk-8-jre 方法二：下載軟件包進行升級安裝 通過軟件包地址下載軟件包，使用軟件包升級命令根據受影響的軟件包列表升級相關的組件包。 $sudo dpkg -i /Path1/Package1 /Path2/Package2 /Path3/Package3…… 注：Path 指軟件包下載到本地的路徑，Package指下載的軟件包名稱，多個軟件包則以空格分開。 5. 軟件包下載地址 銀河麒麟桌面操作系統V10 x86_64軟件包下載地址 http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-demo_8u342-b07-0kord1~16.04_amd64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jdk-headless_8u342-b07-0kord1~16.04_amd64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jdk_8u342-b07-0kord1~16.04_amd64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jre-headless_8u342-b07-0kord1~16.04_amd64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jre-jamvm_8u342-b07-0kord1~16.04_amd64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jre-zero_8u342-b07-0kord1~16.04_amd64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jre_8u342-b07-0kord1~16.04_amd64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-source_8u342-b07-0kord1~16.04_all.deb arm64軟件包下載地址 http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-demo_8u342-b07-0kord1~16.04_arm64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jdk-headless_8u342-b07-0kord1~16.04_arm64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jdk_8u342-b07-0kord1~16.04_arm64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jre-headless_8u342-b07-0kord1~16.04_arm64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jre-zero_8u342-b07-0kord1~16.04_arm64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jre_8u342-b07-0kord1~16.04_arm64.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-source_8u342-b07-0kord1~16.04_all.deb mips64el軟件包下載地址 http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-demo_8u342-b07-0kord1~16.04_mips64el.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jdk-headless_8u342-b07-0kord1~16.04_mips64el.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jdk_8u342-b07-0kord1~16.04_mips64el.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jre-headless_8u342-b07-0kord1~16.04_mips64el.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-jre_8u342-b07-0kord1~16.04_mips64el.deb http://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/o/openjdk-8/openjdk-8-source_8u342-b07-0kord1~16.04_all.deb 6. 修復驗證 使用軟件包查詢命令，查看相關的軟件包版本大于或等于修復版本則成功修復。 $sudo dpkg -l |grep Package 注：Package為軟件包包名。