Avis du CERT-FR
Objet : Vulnérabilités des versions Sun de Java 2 Standard Edition
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
Tout système Windows, Solaris ou Linux utilisant :
- Java 2 Standard Edition (J2SE) version 5.0 (1.5.0) dans une version précédent l'« Update 2 » ;
- J2SE 1.4.2 dans une version antérieure à la 1.4.2_08.
Résumé
Des vulnérabilités peuvent être exploitées par des appliquettes quelconques pour élever leurs privilèges ce qui permet, par exemple, d'exécuter du code ou d'accéder à des fichiers arbitraires.
Description
Les failles concernent, d'une part, le « Java Runtime Environment » (JRE) et peuvent donc être exploitées par des sites malicieux à travers tout navigateur utilisant l'environnement de Sun, et d'autre part, l'outil « Java Web Start » qui peut être invoqué par un navigateur ou l'interface graphique du bureau.
Contournement provisoire
Désactiver l'invocation automatique de « Java Web Start » dans les navigateurs et dans l'explorateur pour Microsoft Windows.
Supprimer l'exécution des appliquettes Java dans les navigateurs ou la restreindre à des appliquettes de confiance.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Blackdown Java-Linux Blackdown-SA-2005-02 du 14 juin 2005 :
http://www.blackdown.org/java-linux/java2-status/security/Blackdown-SA-2005-02.txt -
Bulletin de sécurité Gentoo GLSA 200506-14 du 19 juin 2005 :
http://www.gentoo.org/security/en/glsa/glsa-200506-14.xml -
Bulletin de sécurité SUSE SUSE-SA:2005:032 du 22 juin 2005 :
http://www.novell.com/linux/security/advisories/2005_32_java2.html -
Bulletin de sécurité Sun ID 101748 du 13 juin 2005 :
http://sunsolve.sun.com/search/document.do?assetkey=1-26-101748-1 -
Bulletin de sécurité Sun ID 101749 du 13 juin 2005 :
http://sunsolve.sun.com/search/document.do?assetkey=1-26-101749-1 -
Site officiel Java de Sun :
http://java.sun.com
Gestion détaillée du document
| Date | Description |
|---|---|
| 14 juin 2005 | version initiale. |
| 20 juin 2005 | ajout des références aux bulletins de sécurité de Blackdown Java-Linux et Gentoo. |
| 23 juin 2005 | ajout de la référence au bulletin de sécurité de SUSE et ajout de la référence CVE CAN-2005-1974. |