Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2003-AVI-015

Gestion du document

Tableau 1: gestion du document

Référence	CERTA-2003-AVI-015-002
Titre	Vulnérabilité de la machine virtuelle Java
Date de la première version	28 janvier 2003
Date de la dernière version	01 avril 2003
Source(s)	Bulletin de sécurité Sun 50083
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement des règles de sécurité ;
fuite de données.

2 Systèmes affectés

Machine virtuelle Java fournie avec Java SDK (Software Development Kit) et Java JRE (Java Runtime Environment) pour les plates-formes Solaris, Linux et Windows :

Toutes les versions de la série 1.4.0 jusqu'à la version 1.4.0_02 incluse ;
toutes les versions de la série 1.3.1 jusqu'à la version 1.3.1_05 incluse ;
toutes les versions de la série 1.3.0 jusqu'à la version 1.3.1_05 incluse ;
toutes les versions de la série 1.2.2 jusqu'à la version 1.3.1_05 incluse ;
toutes les versions 1.1.x.

Pour les autres plates-formes, se référer à la section documentation.

3 Résumé

Il est possible de contourner le mécanisme de protection des méthodes et attributs d'un objet Java.

4 Description

Une vulnérabilité dans l'implémentation de la machine virtuelle Java de Sun (ainsi que les implémentations dérivées) permet à un utilisateur mal intentionné d'avoir accès aux méthodes et attributs protégés d'un objet Java.

5 Solution

Effectuer les mises à jour de la machine virtuelle Java comme indiqué dans le bulletin de sécurité des différents éditeurs (cf. section Documentation).

6 Documentation

Bulletin de sécurité 50083 de Sun :

http://sunsolve.sun.com/pub-cgi/secBulletin.pl

Bulletin de sécurité HPSBUX0301-239 de Hewlett-Packard :
```
http://itrc.hp.com
```

Bulletin de sécurité 20030303-01-I de SGI :

ftp://patches.sgi.com/support/free/security/advisories/20030303-01-I

Gestion détaillée du document

28 janvier 2003: version initiale.
07 février 2003: Ajout bulletin de sécurité HPSBUX0301-239 de Hewlett-Packard.
01 avril 2003: Ajout bulletin de sécurité 20030303-01-I de SGI.

CERTA
2012-01-04

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

webmestre

Dernière mise à jour : le 22/05/2012

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques

Centre d'Expertise Gouvernemental de
Réponse et de Traitement des Attaques informatiques