S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 29 octobre 2003
N° CERTA-2003-AVI-175-001
Affaire suivie par: CERT-FR
le 29 octobre 2003

Avis du CERT-FR

Objet: Vulnérabilité de la Machine Virtuelle Java de Sun

Gestion du document

Référence CERTA-2003-AVI-175-001
Titre Vulnérabilité de la Machine Virtuelle Java de Sun
Date de la première version 29 octobre 2003
Date de la dernière version 07 novembre 2003
Source(s) Bulletin de sécurité #57221 de Sun
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Contournement de la politique de sécurité.

Systèmes affectés

  • SDK et JRE versions 1.4.1_03 et antérieures ;
  • SDK et JRE versions 1.3.1_08 et antérieures ;
  • SDK et JRE versions 1.2.2_015 et antérieures.

Les plate-formes Solaris, Windows, Linux et HP-UX sont concernées.

Description

Le composant Class Loader est un des composants de la machine virtuelle Java (JVM) permettant d'appliquer une politique de sécurité (restrictions des droits d'accès) lors de l'exécution d'un programme java.

Une vulnérabilité présente dans la gestion du contrôle d'accès aux paquetages peut être exploitée par le biais d'un programme java malicieux afin de réaliser des opérations interdites par la politique de sécurité.

Solution

Les versions suivantes ne sont pas affectées :

  • SDK et JRE versions 1.4.1_04 et postérieures ;
  • SDK et JRE versions 1.3.1_09 et postérieures ;
  • SDK et JRE versions 1.2.2_016 et postérieures.
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs.

Documentation

Gestion détaillée du document

    le 29 octobre 2003
    version initiale.
    le 07 novembre 2003
    ajout référence au bulletin de sécurité de HP.