CERT-FI haavoittuvuustiedote 082/2004

23.11.2004

Haavoittuvuus Sun Java -ohjelmistossa


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Sun Java -laajennus on eri Internet-selainohjelmistoissa laajassa käytössä oleva komponentti, jonka tarkoituksena on luoda yhteysrajapinta selainohjelmistojen ja Sun Java -ohjelmiston välille. Yhteysrajapinnan avulla voidaan suorittaa eri www-sivustoilla olevia Java-sovelluksia käyttäjän selainohjelmistossa.

Sun Java -ohjelmistosta on löydetty haavoittuvuus, jota hyväksikäyttämällä hyökkääjän on mahdollista suorittaa haavoittuvassa tietojärjestelmässä komentoja, jotka ohittavat Javassa käytössä olevan suojamekanismin (sandbox). Haavoittuvuutta voidaan käyttää hyökkääjän toimesta mm. omien komentojen suorittamiseen kohdejärjestelmässä selainohjelmiston käyttäjän oikeuksin.

Haavoittuvuutta voidaan hyväksikäyttää eri selainohjelmistojen kautta. Sun Java -ohjelmistoa käyttäviä selainohjelmistoja ovat mm. Microsoft Internet Explorer, Mozilla ja Firefox. On huomioitavaa, että haavoittuvuutta voidaan hyväksikäyttää sekä Windows että Unix / Linux -tietojärjestelmissä.