Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

  • Sun Java System Application Server version 7 2004Q2 Enterprise Edition Update 2 et les versions antérieures ;
  • Sun Java System Application Server version 7 2004Q2 Standard Edition Update 2 et les versions antérieures ;
  • Sun Java System Web Server version 6.1 Service Pack 4 et les versions antérieures ;
  • Sun ONE Application Server 7 Platform Edition Update 6 et les versions antérieures ;
  • Sun ONE Application Server 7 Standard Edition Update 6 et les versions antérieures.
  • Sun ONE Web Server 6.0 Service Pack 9 et les versions antérieures ;

Résumé

Une vulnérabilité a été identifiée dans certaines versions de Sun Java System Server et Sun ONE Server. Elle permet à un utilisateur malveillant utilisant une technique d'injection de code indirecte (ou Cross-Site Scripting) pour exécuter du code arbitraire à distance sur une machine se connectant au serveur.

Description

Une vulnérabilité a été identifiée dans certaines versions de Sun Java System Server et Sun ONE Server. Ceux-ci ne vérifient pas correctement certaines adresses réticulaires (ou URI pour Universal Resource Identifier) retournées dans une page d'erreur et contenant le caractère guillemet ". Un utilisateur malveillant peut utiliser cette vulnérabilité en injectant une URI spéciale dans un serveur. Ceci représente une attaque par injection de code arbitraire (ou Cross-Site Scripting) : du code arbitraire peut être exécuté sur la machine d'un utilisateur qui visite la page d'erreur sur le site où le serveur Sun fonctionne.

Solution

Se référer au bulletin de mise à jour de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation