JVNTA12-240A: Oracle Java 7 に脆弱性

Oracle が提供する Java 7 には、任意の OS コマンドが実行可能な脆弱性が存在します。

以下の製品を含む、全ての Java Platform Standard Edition 7 (1.7, 1.7.0) を使用しているウェブブラウザ等のシステム

Oracle が提供する Java 7 には、Java のサンドボックスを回避され、任意の OS コマンドが実行可能な脆弱性が存在します。

なお、本脆弱性を使用した攻撃コードが公開されており、攻撃も観測されています。

細工された Java アプレットが埋め込まれたウェブページを開くことで、任意の OS コマンドが実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

ベンダ	リンク
Oracle	Oracle Security Alert for CVE-2012-4681
	Java SE Downloads
	The Security Manager
富士通	TA12-240Aに対する富士通の情報

US-CERT Vulnerability Note VU#636312
Oracle Java JRE 1.7 allows untrusted code to set arbitrary Security Manager permissions
Apple
Support - Safari で Java Web プラグインを無効にする方法
Mozilla
Firefox ヘルプ - Java アプレットを無効にするには
Google
Chrome のヘルプ - プラグイン
Microsoft
How to disable the Java web plug-in in Internet Explorer

2012.08.28における脆弱性分析結果緊急

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	匿名もしくは認証なしで攻撃が可能	高
攻撃成立に必要なユーザーの関与	リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される	中
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory	US-CERT Alert (TA12-240A) Oracle Java 7 Security Manager Bypass Vulnerability
CPNI Advisory
TRnotes
CVE	CVE-2012-4681
JVN iPedia

JVNTA12-240A Oracle Java 7 に脆弱性 緊急