S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 7 novembre 2003 No CERTA-2003-AVI-175-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité de la Machine Virtuelle Java de Sun

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

2 Systèmes affectés

• SDK et JRE versions 1.4.1_03 et antérieures ;
• SDK et JRE versions 1.3.1_08 et antérieures ;
• SDK et JRE versions 1.2.2_015 et antérieures.

Les plate-formes Solaris, Windows, Linux et HP-UX sont concernées.

3 Description

Le composant Class Loader est un des composants de la machine virtuelle Java (JVM) permettant d'appliquer une politique de sécurité (restrictions des droits d'accès) lors de l'exécution d'un programme java.

Une vulnérabilité présente dans la gestion du contrôle d'accès aux paquetages peut être exploitée par le biais d'un programme java malicieux afin de réaliser des opérations interdites par la politique de sécurité.

4 Solution

Les versions suivantes ne sont pas affectées :

• SDK et JRE versions 1.4.1_04 et postérieures ;
• SDK et JRE versions 1.3.1_09 et postérieures ;
• SDK et JRE versions 1.2.2_016 et postérieures.

5 Documentation

• Bulletin de sécurité #57221 de Sun :

  http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert%2F57221
  

• Bulletin de sécurité HPSBUX0311-295 de HP :

  http://itrc.hp.com
  

Gestion détaillée du document

29 octobre 2003

version initiale.

07 novembre 2003

ajout référence au bulletin de sécurité de HP.