CVE-2013-0422

Resumo

Múltiplas vulnerabilidades no Oracle Java 7 anterior à Update 11 permitem que atacantes remotos executem código arbitrário ao (1) usar o método público getMBeanInstantiator na classe JmxMBeanServer para obter uma referência a um objeto MBeanInstantiator privado e, em seguida, recuperar referências arbitrárias de Class usando o método findClass, e (2) usar a API Reflection com recursão de uma forma que contorna uma verificação de segurança do método java.lang.invoke.MethodHandles.Lookup.checkSecurityManager devido à incapacidade do método sun.reflect.Reflection.getCallerClass de ignorar frames relacionados à nova API de reflection, conforme explorado em ataques reais em janeiro de 2013, como demonstrado por Blackhole e Nuclear Pack, e sendo uma vulnerabilidade diferente de CVE-2012-4681 e CVE-2012-3174. NOTA: algumas partes mapearam o problema recursivo da API Reflection para CVE-2012-3174, mas CVE-2012-3174 diz respeito a uma vulnerabilidade diferente cujos detalhes não são públicos desde 14/01/2013. CVE-2013-0422 cobre tanto os problemas de JMX/MBean quanto os da API Reflection. NOTA: foi inicialmente relatado que o Java 6 também era vulnerável, mas o relator retratou essa afirmação, declarando que o Java 6 não é explorável porque o código relevante é chamado de uma forma que não contorna as verificações de segurança. NOTA: desde 14/01/2013, um terceiro de confiança afirmou que o vetor findClass/MBeanInstantiator não foi corrigido no Oracle Java 7 Update 11. Se ainda houver uma condição vulnerável, um identificador CVE separado poderá ser criado para o problema não corrigido.

• Java Applet JMX - Remote Code Execution (Metasploit) (1)Exploit