CVE-2013-2423
ثغرة غير محددة في Oracle JRE
- تم النشر
- 17/04/2013
- محدث
- 22/10/2025
- تخصيص CNA
- oracle
- الأدلة المرصودة
- 23/04/2013
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:Nمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.7%
- تاريخ الموديل
- 13/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
CISA معروف باستغلاله
يظهر CVE هذا في كتالوج الثغرات الأمنية المعروفة بـ CISA.
ملخص
ثغرة أمنية غير محددة في مكوّن بيئة تشغيل جافا (JRE) ضمن Oracle Java SE 7 Update 17 والإصدارات الأقدم، وOpenJDK 7، تسمح للمهاجمين عن بُعد بالتأثير على السلامة عبر ناقلات غير معروفة مرتبطة بـ HotSpot. ملاحظة: المعلومات السابقة مأخوذة من تحديث التصحيحات الحرج (CPU) لشهر أبريل 2013. لم تعلّق Oracle على ادعاءات الباحث الأصلي بأن هذه الثغرة تسمح للمهاجمين عن بُعد بتجاوز فحوصات الأذونات باستخدام أسلوب MethodHandles وتعديل الحقول النهائية العامة التعسفية عبر الانعكاس (reflection) وخلط الأنواع (type confusion)، كما تم توضيحه باستخدام حقول من نوع integer وdouble لتعطيل مدير الأمان (security manager).
المصادر
modules/exploits/multi/browser/java_jre17_reflection_types.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Java,Linux,OSX,Windows($.exploit_multi/browser/java_jre17_reflection_types.platform)
- verification: check_not_declared($.exploit_multi/browser/java_jre17_reflection_types.check)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.