Sigurnosni propust u Javi 7

Privitak 2491

US-CERT - američki tim za računalne krizne situacije, grupa koju financira Ministarstvo domovinske sigurnosti SAD-a, izdao je 10. siječnja upozorenje o sigurnosnom propustu u Oracleovoj Javi 7.

Pogođena je Java 7 do dogradnje 10 (v. 1.7.0_0 do 1.7.0_10). Sve platforme na kojima je koristi Java su pogođene, uključujući i Windows, OS X i Linux.

Oracle je jučer počeo distribuirati dogradnju 11 koja adresira ovaj sigurnosni propust. Instalirati se može kroz normalne kanale za nadogradnju, uključujući i automatsku dogradnju.

Propust se aktivno iskorištava. Korisnik koji ima instaliranu Javu 7 može biti izložen napadu na način da posjeti web-stranicu s Java appletom koji iskorištava ovaj sigurnosni propust. Applet može biti umetnut u takvu web-stranicu namjerno (korisnik se nagovori da je posjeti tehnikama socijalnog inžinjeringa) ili napadači mogu izmijeniti web-stranice na nekom mjestu u koje su provalili.

Programski kôd koji nema dopuštenje korisnika može koristiti razrede nad kojima nema dozvole na način da koristeći sigurnosni propust u izvršno okruženje namjesti svoj vlastiti SecurityManager i onda samom sebi izda potrebne dozvole. Nakon toga taj programski kôd može izvršiti bilo kakav daljnji program kao da ima sva prava na računalu.

Reference:

- http://www.us-cert.gov/cas/techalerts/TA13-010A.html
- http://www.kb.cert.org/vuls/id/625617
- http://www.oracle.com/technetwork/to...2-1896849.html
- http://www.oracle.com/technetwork/ja...s-1896856.html
- http://www.alaskadispatch.com/articl...ware-heres-how