CVE-2013-0422

Résumé

De multiples vulnérabilités dans Oracle Java 7 avant Update 11 permettent à des attaquants distants d'exécuter du code arbitraire en (1) utilisant la méthode publique getMBeanInstantiator de la classe JmxMBeanServer pour obtenir une référence à un objet MBeanInstantiator privé, puis en récupérant des références de classes arbitraires à l'aide de la méthode findClass, et (2) utilisant l'API Reflection avec récursion d'une manière qui contourne un contrôle de sécurité effectué par la méthode java.lang.invoke.MethodHandles.Lookup.checkSecurityManager en raison de l'incapacité de la méthode sun.reflect.Reflection.getCallerClass à sauter les frames liés à la nouvelle API Reflection, comme cela a été exploité dans la nature en janvier 2013, comme le démontrent Blackhole et Nuclear Pack, et une vulnérabilité différente de CVE-2012-4681 et de CVE-2012-3174. NOTE : certaines parties ont associé le problème de récursion de l'API Reflection à CVE-2012-3174, mais CVE-2012-3174 concerne une vulnérabilité différente dont les détails ne sont pas publics au 20130114. CVE-2013-0422 couvre à la fois les problèmes liés à JMX/MBean et à l'API Reflection. NOTE : il a été signalé à l'origine que Java 6 était également vulnérable, mais le rapporteur a rétracté cette affirmation, déclarant que Java 6 n'est pas exploitable car le code concerné est appelé d'une manière qui ne contourne pas les contrôles de sécurité. NOTE : au 20130114, un tiers fiable a affirmé que le vecteur findClass/MBeanInstantiator n'avait pas été corrigé dans Oracle Java 7 Update 11. Si une condition de vulnérabilité existe toujours, alors un identifiant CVE distinct pourrait être créé pour le problème non corrigé.

Sources