安全研究
安全漏洞
Microsoft Java实现存在多个漏洞
发布日期:2002-09-09
更新日期:2002-09-12
受影响系统:Microsoft Internet Explorer 6.0
Microsoft Internet Explorer 5.5SP2
Microsoft Internet Explorer 5.5SP1
Microsoft Internet Explorer 5.5
Microsoft Internet Explorer 5.0.1SP2
Microsoft Internet Explorer 5.0.1SP1
Microsoft Internet Explorer 5.01
- Microsoft Windows NT 4.0
- Microsoft Windows ME
- Microsoft Windows 98
- Microsoft Windows 95
- Microsoft Windows 2000 SP3
描述:
Java Applets是可以嵌入在HTML文档中的小型JAVA程序,Microsoft Internet Explorer使用虚拟机机制对这些程序进行解释。由于JAVA环境设置严格的安全机制,Applets通常来说比较安全,Applet默认情况下可被大多数WEB浏览器解析。
Microsoft中的Java实现存在10多个不同的漏洞,远程攻击者可以利用这些漏洞进行查看目标用户系统中的文件,允许以用户进程执行任意代码等操作。
Java在Microsoft中的实现存在多个漏洞,这些漏洞涉及到与Native模式(Native Method)操作相关,Native模式(Native method)包含许多核心JAVA类中,如所有文件的操作由Native模式完成,它们一般完成由纯JAVA不能完成的操作,可以加快代码的运行速度,而Native模式由于核心功能的需要不受限于JAVA安全措施的操作并能访问处理器,操作系统,内存和文件系统。不过这些底层调用(Native method)对参数缺少正确检查,或者存在部分包中存在逻辑错误,可导致攻击者利用这些漏洞进行攻击,虽然一般的大多数applet不能直接调用这些核心调用,但是部分applet还是可以利用其他方法传递参数到有漏洞的私有Native模式调用中,使攻击者可以进行查看目标用户系统中的文件,允许以用户进程执行任意代码等操作。某些漏洞很依靠系统的内存地址,所以利用它们会更复杂。
这些漏洞只存在于修改过的Microsoft Java实现,Sun Microsystem中的代码不受这些漏洞影响。
目前我们没有获得详细的漏洞信息。
<*来源:Jouko Pynnonen (
jouko@iki.fi)
链接:
http://marc.theaimsgroup.com/?l=bugtraq&m=103158359027977&w=2
*>
建议:
临时解决方法:
如果您不能立刻安装补丁或者升级,NSFOCUS建议您采取以下措施以降低威胁:
* 在IE中使用如下方法关闭JAVA执行:
Internet选项-->Internet-->安全-->自定义级别-->Micrisoft VM,选择禁用JAVA。
厂商补丁:
Microsoft
---------
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
http://www.microsoft.com/windows/ie/default.asp浏览次数:6161
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载 绿盟科技给您安全的保障 |