首頁 -> 安全研究

安全研究

安全漏洞
Oracle Java 7 JmxMBeanServer類遠程代碼執行漏洞

發布日期:2013-01-14
更新日期:2013-01-14

受影響系統:
Oracle Java 7 Update 10
描述:
BUGTRAQ  ID: 57246
CVE ID: CVE-2013-0422

Oracle Java Runtime Environment (JRE)是一款為JAVA應用程序提供可靠運行環境的解決方案。

Oracle JRE7環境中的jmx.mbeanserver.JmxMBeanServer類存在沙盒繞過漏洞使得遠程攻擊者可以繞過java securityManager的檢查遠程執行任意java代碼控制用戶系統。

目前已知受影響環境為最新版本Oracle JRE7 update 10及其更早版本。經測試Oracle Java 6不受影響。


<*來源:Kafeine
  
  鏈接:http://blog.fireeye.com/research/2013/01/happy-new-year-from-new-java-zero-day.html
        http://malware.dontneedcoffee.com/2013/01/0-day-17u10-spotted-in-while-disable.html?m=1
        http://krebsonsecurity.com/2013/01/zero-day-java-exploit-debuts-in-crimeware/
        http://secunia.com/advisories/51820/
        http://www.kb.cert.org/vuls/id/625617
        http://www.258434.live/index.php?act=alert&do=view&aid=131
        http://www.oracle.com/technetwork/topics/security/alert-cve-2013-0422-1896849.html
*>

建議:
臨時解決方法:

如果您不能立刻安裝補丁或者升級,NSFOCUS建議您采取以下措施以降低威脅:

* 在瀏覽器中暫時禁用Java

  參考:http://krebsonsecurity.com/how-to-unplug-java-from-the-browser/

對于Windows用戶:

1) Firefox

  工具->附加組件(Ctrl-Shift-A)->插件,將所有帶有Java字樣的禁用,重啟Firefox。

  安裝NoScript擴展,NoScript選項->嵌入的對象->禁止Java

2) Chrome

  點擊右上角的扳手->設置->點擊最下面的"顯示高級設置"->隱私設置->內容設置->插件
  ->停用單個插件->Java->停用

3) IE

  如果您已經升級到JRE 7 update 10可以利用它新增的一個安全特性來禁用JAVA。
  打開控制面板,搜索Java,在java控制面板中選擇"安全",然后清空"Enable Java
  content in the browser"的復選框。
  http://www.java.com/en/download/help/disable_browser.xml

  對于JRE 7 update 10以下的版本:

  控制面板->Java->Java->查看->用戶->禁用所有版本的JRE(Java運行時環境)

  控制面板->Java->Java->查看->系統->禁用所有版本的JRE(Java運行時環境)

  但是這一方法只適用于XP、2003,不適用于Vista、Win7等高版本的Windows,你無法清
  空相應的啟用復選框。此時需要使用regedit修改注冊表。

  這個注冊表鍵值位于:
--------------------------------------------------------------------------
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Plug-in]

[HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Plug-in\<版本號>]
"UseJava2IExplorer"=dword:00000001
--------------------------------------------------------------------------
  所有版本的Java都有一個UseJava2IExplorer,其值缺省為1,修改成0即可禁用Java。


  如果是64位系統也安裝了32位Java的話,相關注冊表鍵值位于:

--------------------------------------------------------------------------
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft\Java Plug-in]

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft\Java Plug-in\<版本號>]
"UseJava2IExplorer"=dword:00000001
--------------------------------------------------------------------------

廠商補丁:

Oracle
------
Oracle已經發布了針對該漏洞的補丁Java 7 update 11和相關安全公告:
http://www.oracle.com/technetwork/topics/security/alert-cve-2013-0422-1896849.html

建議Java用戶盡快安裝最新的升級包。

對于Windows 用戶,首先您應當在控制面板->添加或刪除程序(Win7下是控制面板->程序->程序和功能)中確認您是否已經安裝java,以及安裝的版本,例如是JDK還是JRE,是32位還是64位。如果您尚未安裝Java,則不必繼續下面的操作。

對于java開發人員,可以從下列鏈接手工下載最新的Java SE JDK 7和 JRE 7:
http://www.oracle.com/technetwork/java/javase/downloads/index.html

對于通過瀏覽器使用Java SE的普通用戶,可以直接訪問http://java.com ,根據提示信息下載最新的java JRE。如果您在使用64位Windows系統,您可能需要分別使用32位和64位的瀏覽器來訪問java.com以分別下載32位和64位的JRE。

瀏覽次數:12856
嚴重程度:0(網友投票)
本安全漏洞由綠盟科技翻譯整理,版權所有,未經許可,不得轉載
綠盟科技給您安全的保障
海南七星彩彩票官网