CVE-2013-0422

Zusammenfassung

Mehrere Schwachstellen in Oracle Java 7 vor Update 11 ermöglichen es entfernten Angreifern, beliebigen Code auszuführen, indem sie (1) die öffentliche Methode getMBeanInstantiator in der Klasse JmxMBeanServer verwenden, um eine Referenz auf ein privates MBeanInstantiator-Objekt zu erhalten, und dann über die Methode findClass beliebige Class-Referenzen abrufen, und (2) die Reflection-API mit Rekursion in einer Weise verwenden, die eine Sicherheitsprüfung durch die Methode java.lang.invoke.MethodHandles.Lookup.checkSecurityManager umgeht, da die Methode sun.reflect.Reflection.getCallerClass nicht in der Lage ist, Frames im Zusammenhang mit der neuen Reflection-API zu überspringen, wie im Januar 2013 in freier Wildbahn ausgenutzt wurde, wie durch Blackhole und Nuclear Pack demonstriert, und stellt eine andere Schwachstelle als CVE-2012-4681 und CVE-2012-3174 dar. HINWEIS: Einige Parteien haben das rekursive Reflection-API-Problem CVE-2012-3174 zugeordnet, aber CVE-2012-3174 betrifft eine andere Schwachstelle, deren Details zum Stand vom 14.01.2013 nicht öffentlich sind. CVE-2013-0422 deckt sowohl die JMX/MBean- als auch die Reflection-API-Probleme ab. HINWEIS: Ursprünglich wurde berichtet, dass auch Java 6 betroffen sei, aber der Melder hat diese Behauptung zurückgezogen und erklärt, dass Java 6 nicht ausnutzbar ist, da der relevante Code auf eine Weise aufgerufen wird, die Sicherheitsprüfungen nicht umgeht. HINWEIS: Zum Stand vom 14.01.2013 hat ein zuverlässiger Dritter behauptet, dass der findClass/MBeanInstantiator-Vektor in Oracle Java 7 Update 11 nicht behoben wurde. Falls die Schwachstelle weiterhin besteht, könnte für das nicht behobene Problem eine separate CVE-Kennung vergeben werden.

Quellen