研究者：デスクトップ、サーバー用Java Runtime Environmentの深刻な欠陥

ポーランドのセキュリティリサーチ会社Security ExplorationsのJava脆弱性ハンターは、最新のデスクトップとサーバーのバージョンに影響を与える新しい脆弱性を発見したと主張しています。 Java Runtime Environment（JRE）が含まれています。この脆弱性はJavaのReflection APIコンポーネントにあり、Javaセキュリティサンドボックスを完全に迂回して任意のコードを実行することができます。 Full Disclosureメーリングリストに送られた電子メール。この欠陥は、先週火曜日にOracleからリリースされたJava 7 Update 21と、同時にリリースされた新しいServer JREパッケージを含む、Java 7のすべてのバージョンに影響を与えていると同氏は述べています。

Java Runtime Environment（JRE）のJavaサーバー導入用に設計されています。 Oracleによると、Server JREには、Javaベースのブラウザプラグイン、Webベースのエクスプロイトの頻繁なターゲット、自動更新コンポーネント、または標準のJREパッケージにあるインストーラが含まれていません。[

]あなたのWindows PCからマルウェアを除去するために]

脆弱なコンポーネントのAPI（アプリケーション・プログラミング・インタフェース）に悪意のある入力を与えることによって、Javaの脆弱性もサーバーの展開で悪用される可能性があることを認識していますが、

「Javaの影響に関するオラクルの主張が間違っていることをユーザーに知らせるようにした」とGowdiak氏は電子メールで述べている。 SEの脆弱性」とGowdiak氏は語る。 「オラクルがJavaプラグインだけに影響を及ぼすとして評価されたバグは、サーバにも影響を与える可能性があることが証明された」と述べた.2009年2月、Security Explorationsは、これは、RMI（リモートメソッド呼び出し）プロトコルを使用してサーバー上のJavaを攻撃するために使用されていた可能性があるとGowdiak氏は述べています。オラクルは、先週のJavaアップデートでRMI攻撃のベクタに取り組んだが、サーバー上でJavaの展開を攻撃する他の方法が存在すると、Security Explorationsの研究者は、Server JREに対して発見された新しい脆弱性が悪用されたことを検証していない。しかし、サーバーに信頼できないJavaコードをロードまたは実行するために使用できる既知のJava APIおよびコンポーネントがリストされています。

オラクルの「Javaのためのセキュア・コーディング・ガイドライン」のガイドライン3-8 Gowdiak氏によると、Java Serverの導入は、月曜日にOracleに報告されたような脆弱性を利用して攻撃される可能性がある、とGowdiak氏は話している[

]。この研究者は、Reflection APIが実装され、これまでに複数の脆弱性の原因となっています。 「Reflection APIはJavaセキュリティモデルにはうまく適合せず、不適切に使用されるとセキュリティ上の問題が発生しやすくなる」とGowdiak氏は述べている。 Reflection APIに関連する一般的なセキュリティ問題がSecurity ExplorationsによってOracleに報告されてから1年後にJava 7コードにこの脆弱性が存在してはならないと彼は述べています。