Avis du CERT-FR

Json

Objet : Vulnérabilité de la Machine Virtuelle Java de Sun

Gestion du document

Référence	CERTA-2003-AVI-175
Titre	Vulnérabilité de la Machine Virtuelle Java de Sun
Date de la première version	29 octobre 2003
Date de la dernière version	07 novembre 2003
Source(s)	Bulletin de sécurité #57221 de Sun

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Contournement de la politique de sécurité

Systèmes affectés

SDK et JRE versions 1.4.1_03 et antérieures ;
SDK et JRE versions 1.3.1_08 et antérieures ;
SDK et JRE versions 1.2.2_015 et antérieures.

Les plate-formes Solaris, Windows, Linux et HP-UX sont concernées.

Description

Le composant Class Loader est un des composants de la machine virtuelle Java (JVM) permettant d'appliquer une politique de sécurité (restrictions des droits d'accès) lors de l'exécution d'un programme java.

Une vulnérabilité présente dans la gestion du contrôle d'accès aux paquetages peut être exploitée par le biais d'un programme java malicieux afin de réaliser des opérations interdites par la politique de sécurité.

Solution

Les versions suivantes ne sont pas affectées :

SDK et JRE versions 1.4.1_04 et postérieures ;
SDK et JRE versions 1.3.1_09 et postérieures ;
SDK et JRE versions 1.2.2_016 et postérieures.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs.

Documentation

Bulletin de sécurité #57221 de Sun
http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert%2F57221
Bulletin de sécurité HPSBUX0311-295 de HP :
http://itrc.hp.com

Gestion détaillée du document

Date	Description
29 octobre 2003	version initiale.
07 novembre 2003	ajout référence au bulletin de sécurité de HP.