CERT-FI haavoittuvuustiedote 010/2006

9.2.2006

Haavoittuvuuksia Sun Java -ohjelmistoissa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - tietojen muokkaaminen - luottamuksellisen tiedon hankkiminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Sun JRE (Java Runtime Environment) -ohjelmistoista on löydetty lukuisia uusia haavoittuvuuksia. Lisäksi Sun J2SE (Java 2 Platform Standard Edition) -ohjelmistoista on löydetty yksi uusi haavoittuvuus.

Kaikki JRE-ohjelmistosta löydetyt haavoittuvuudet liittyvät niin sanottujen "reflection" -rajapintojen käyttöön. J2SE -ohjelmiston haavoittuvuus liittyy tietyllä tavalla muokatun JNLP-tiedoston käsittelyyn. Kaikkia julkaistuja haavoittuvuuksia voidaan hyväksikäyttää www-sivun kautta hyökkääjän muokkaamalla Java-appletilla. Haavoittuvuuksia hyväksikäyttämällä hyökkääjän voi olla mahdollista ohittaa Javan käyttämät suojausmekanismit (sandbox).

HAAVOITTUVAT OHJELMISTOT:

• JRE ja JDK (Java Development Kit) 5.0 päivitys 4 sekä näitä edeltävät versiot

• JRE ja SDK (Software Development Kit) 1.4.2_09 sekä näitä edeltävät versiot

• JRE ja SDK 1.3.1_16 sekä näitä edeltävät versiot

• J2SE 5.0 päivitys 5 ja edeltävät versiot

Tarkemmat versiotiedot haavoittuvista ohjelmistoista on saatavilla valmistajan julkaisemista tiedotteista:

http://sunsolve.sun.com/search/document.do?assetkey=1-26-102171-1

http://sunsolve.sun.com/search/document.do?assetkey=1-26-102170-1

Apple on julkaissut oman päivityksen ja tiedotteen liittyen Java-ohjelmiston Mac OS X -käyttöjärjestelmäversioon:

http://docs.info.apple.com/article.html?artnum=303658

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuvat ohjelmistot valmistajan ohjeiden mukaisesti.

LISÄTIETOA:

http://sunsolve.sun.com/search/document.do?assetkey=1-26-102171-1

http://sunsolve.sun.com/search/document.do?assetkey=1-26-102170-1

http://docs.info.apple.com/article.html?artnum=303658

CVE-2006-0613 CVE-2006-0614 CVE-2006-0615 CVE-2006-0616
CVE-2006-0617

PÄIVITYSHISTORIA:

09.02.2006: Julkaistu
19.04.2006: Lisätty tieto Applen julkaisemasta päivityksestä ja tiedotteesta

Sivua päivitetty 11.03.2007

Tulostusversio