CERT-FI haavoittuvuustiedote 084/2005

29.11.2005

Haavoittuvuuksia Sun Java -ohjelmistoissa


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti	Lisätietoja
Hyväksikäyttö:	- luottamuksellisen tiedon hankkiminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Sun Java JRE (Java Runtime Environment) -ohjelmistoista on löydetty useita haavoittuvuuksia. Haavoittuvuuksia hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä komentoja, jotka ohittavat Javassa käytössä olevan suojausmekanismin (sandbox).

Haavoittuvuutta voidaan hyväksikäyttää esimerkiksi www-sivun kautta tietyllä tavalla muokatulla Java-appletilla. Hyökkääjä voi käyttää haavoittuvuutta esimerkiksi käyttöjärjestelmäkomentojen suorittamiseen selainohjelmiston käyttäjän oikeuksilla.

HAAVOITTUVAT OHJELMISTOT:

Java 2 Platform Standard Edition (J2SE) Software Development Kit (SDK) ja JRE 1.3.1_15 sekä näitä edeltävät versiot
J2SE SDK ja JRE 1.4.2_08 sekä näitä edeltävät versiot
J2SE JDK (Java Development Kit) ja JRE 5.0 Update 3 sekä näitä edeltävät versiot

Kaikki yksittäiset haavoittuvuudet eivät koske jokaista ohjelmistoa. Lisätietoa haavoittuvuuksista ja haavoittuvista ohjelmistoversioista on saatavilla valmistajan julkaisemista tietoturvatiedotteista.