CERT-FI haavoittuvuustiedote 042/2005

14.6.2005

Haavoittuvuuksia Sun Java -ohjelmistoissa


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti	Lisätietoja
Hyväksikäyttö:	- tietojen muokkaaminen - luottamuksellisen tiedon hankkiminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Java Web Start on osa JRE (Java Runtime Environment) ohjelmistoa. Java Web Start on tekniikka, jonka avulla käyttäjä voi helposti suorittaa www-sivun kautta Java-sovelluksia. Java Web Startista ja JRE-ohjelmistosta on löydetty vakavat haavoittuvuudet.

Ensimmäinen haavoittuvuus liittyy tietyllä tavalla muokattujen JNLP (Java Network Launch Protocol) -tiedostojen käsittelyyn. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä omia komentojaan. Haavoittuvuutta voidaan hyväksikäyttää www-sivun kautta ja se koskee Java Web Start -tekniikkaa.

Toinen haavoittuvuus liittyy tietyllä tavalla muokattujen Java appletien käsittelyssä tapahtuvaan virheeseen. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä omia komentojaan. Haavoittuvuutta voidaan hyväksikäyttää www-sivun kautta ja se koskee JRE-ohjelmistoa.

HAAVOITTUVAT OHJELMISTOT:

Ensimmäinen haavoittuvuus:

Java Web Start in Java 2 Platform Standard Edition (J2SE) 5.0, (Windows-, Solaris- ja Linux-käyttöjärjestelmille)
Java Web Start in Java 2 Platform Standard Edition (J2SE) 5.0 Update 1, ( Windows-, Solaris- ja Linux-käyttöjärjestelmille)

Toinen haavoittuvuus:

J2SE 1.4.2_07 ja sitä edeltävät versiot ( Windows-, Solaris- ja Linux-käyttöjärjestelmille)
Java 2 Platform Standard Edition(J2SE) 5.0, (Windows-, Solaris- ja Linux-käyttöjärjestelmille)
Java 2 Platform Standard Edition(J2SE) 5.0 Update 1, (Windows-, Solaris- ja Linux-käyttöjärjestelmille)

Sun Java -ohjelmistoa käyttäviä selaimia ovat mm. Microsoft Internet Explorer, Mozilla ja Mozilla Firefox.