Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

Java 2 Platform : Vulnérabilité d'Elévation de Privilèges

01/05/2007 10H14
Référence Secunia : SA25069 
Date de publication : 2007-05-01

Risque : Moyennement Critique. Niveau 3 sur 5.
Impact : Contournement de la Sécurité
Lieu : A distance


Solutions :
Correctif de l'éditeur


Produit :
Sun Java Entreprise System 5.x
Sun Java JDK 1.5.x
Sun Java JRE 1.4.x
Sun Java JRE 1.5.x / 5.x
Sun Java SDK 1.4.x

Description :
Sun a reconnu une vulnérabilité dans le Java Web Start de la plate-forme Java 2, qui pourrait être exploitée par des personnes malintentionnées pour passer outre certaines restrictions de sécurité.

La vulnérabilité est causée du fait d'une erreur non-spécifiée dans l'utilisation de classes système. Cela peut par ex. être exploité pour lire et écrire dans des fichiers locaux via des applications Java Web Start malicieuses.

La vulnérabilité est rapportée dans Java Web Start dans JDK et JRE 5.0 Update 10 et Java Web Start dans SDK et JRE 1.4.2_13 et précédente pour Windows, Solaris et Linux.


Solutions :
Mettre à jour pour Java Web Start dans JDK et JRE 5.0 Update 11 ou supérieure, ou Java Web Start dans SDK et JRE 1.4.2_14 ou supérieure.

-- J2SE 5.0 --
http://java.sun.com/j2se/1.5.0/download.jsp

-- J2SE 5.0 Update 11 pour Solaris --

J2SE 5.0: mise à jour 11 (comme délivrée dans patch 118666-11 ou supérieure)
J2SE 5.0: mise à jour 11 (comme délivrée dans patch 118667-11 ou supérieure (64bit))
J2SE 5.0_x86: mise à jour 11 (comme délivrée dans patch 118668-11 ou supérieure)
J2SE 5.0_x86: mise à jour 11 (comme délivrée dans patch 118669-11 ou supérieure (64bit))

--- J2SE 1.4.2 --
http://java.sun.com/j2se/1.4.2/download.html

Notez que les versions vulnérables devrait être retiré du système.


Vulnérabilité découverte par :

L'éditeur crédite l'équipe de sécurité Fujitsu.

Référence :
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102881-1




Veuillez noter : L'information sur laquelle ce bulletin Secunia est basé provient d'un tiers sauf mention du contraire. Secunia collecte, valide, et vérifie tout les rapports de vulnérabilité issus de la recherche en sécurité de groupes, distributeurs ou autres.

Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.