一、漏洞概要
漏洞名称 | Oracle Java SE JSSE 中间CA证书信任漏洞(CVE-2026-91403) |
发布时间 | 2026年10月27日 |
组件名称 | Oracle Java SE |
影响范围 | 目前受影响的Oracle Java SE版本： Oracle Java SE:8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1 Oracle GraalVM for JDK:17.0.21、21.0.13 Oracle GraalVM Enterprise Edition:21.3.20 |
漏洞类型 | 访问控制错误 |
利用条件 | 1、用户认证：否 2、前置条件：默认配置 3、触发方式：远程 |
综合评价 | <综合评定利用难度>：容易。 <综合评定威胁等级>：高危，危及机密性与完整性。 |
官方解决方案 | 已发布 |
二、漏洞分析
2.1 组件介绍
Oracle Java SE是美国甲骨文(Oracle)公司开发的一款Java应用程序开发和运行平台，用于构建和部署桌面、服务器、嵌入式设备及实时环境中的Java应用程序；Oracle GraalVM for JDK和Oracle GraalVM Enterprise Edition是甲骨文公司基于Oracle Java SE推出、包含高性能云原生运行时的JDK发行版。三者均包含JSSE(Java Secure Socket Extension)安全组件，该组件提供SSL/TLS加密通信能力，负责Java应用网络连接的证书校验与信任链验证。
2.2 漏洞描述
2026年10月27日，深瞳漏洞实验室监测到一则Oracle Java SE组件存在访问控制错误漏洞的信息，漏洞编号：CVE-2026-91403，漏洞威胁等级：高危。
Oracle Java SE、Oracle GraalVM for JDK 及 Oracle GraalVM Enterprise Edition 的 JSSE 组件存在安全漏洞。该漏洞源于 Java 运行时默认信任库信任了私钥已泄露的 eMudhra 中间 CA 证书。该漏洞易于利用，无需身份认证的远程攻击者只要具备网络访问条件，即可通过多种协议发起攻击：攻击者若持有从被泄露 CA 签发的欺诈证书，并处于网络中间人位置，即可对 Java 应用发起或接受的 TLS 连接进行拦截、解密、篡改或服务器冒充；由于伪造证书能通过 Java 的全部常规证书校验，应用层不会抛出任何异常或告警，攻击难以察觉。影响范围覆盖 HTTPS、数据库、消息队列等所有基于 JSSE 的 TLS 通信场景，成功利用可导致关键数据乃至全部可访问数据被未授权读取，以及部分数据被未授权修改、插入或删除，严重危及数据的机密性与完整性。
三、影响范围
Oracle Java SE：8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1
Oracle GraalVM for JDK：17.0.21、21.0.13
Oracle GraalVM Enterprise Edition：21.3.20
官方修复建议
官方修复方案为升级至对应修复版本及以上。