公開日：2011/06/10　最終更新日：2011/06/30

JVN#29212182
Java Web Start におけるポリシーファイル読み込みに関する脆弱性

概要

Oracle の提供する Java Web Start には、ポリシーファイルの読み込みに関する脆弱性が存在します。

影響を受けるシステム

  • Windows 版 Java SE 6 Update 25 およびそれ以前のバージョン

詳細情報

Java Web Start は、Oracle が提供する JRE (Java Runtime Environment) 等の Java 実行環境に含まれるソフトウェアです。Java Web Start には、ポリシーファイル読み込み処理に問題があり、意図しないポリシーファイルを読み込んでしまう脆弱性が存在します。

想定される影響

読み込んだポリシーによって制限が回避され、任意のコードを実行される可能性があります。

対策方法

アップデートする
開発者が提供する情報をもとに最新版へアップデートしてください。

ベンダ情報

ベンダ リンク
Oracle Oracle Java SE Critical Patch Update Advisory - June 2011

参考情報

  1. IPA
    「Java Web Start」における3件のセキュリティ上の弱点（脆弱性）の注意喚起

JPCERT/CCからの補足情報


JPCERT/CCによる脆弱性分析結果

2011.06.10における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
  • 高
認証レベル 匿名もしくは認証なしで攻撃が可能
  • 高
攻撃成立に必要なユーザーの関与 リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される
  • 中
攻撃の難易度 ある程度の専門知識や運 (条件が揃う確率は高い) が必要
  • 中 - 高

各項目の詳しい説明

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 株式会社富士通研究所 兒島 尚 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2011-0788
JVN iPedia JVNDB-2011-000033

更新履歴

2011/06/30
参考情報に IPA 注意喚起へのリンクを追加しました。