S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 19 mars 2002
N° CERTA-2002-AVI-056-002
Affaire suivie par: CERT-FR
le 19 mars 2002

Avis du CERT-FR

Objet: Vulnérabilité de la machine virtuelle Java

Gestion du document

Référence CERTA-2002-AVI-056-002
Titre Vulnérabilité de la machine virtuelle Java
Date de la première version 19 mars 2002
Date de la dernière version 01 avril 2003
Source(s) Seconde version du bulletin de sécurité Microsoft MS02-013
Bulletin de sécurité #00218 de Sun
Bulletin de sécurité SSRT0822 de Compaq
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Elévation de privilèges.

Systèmes affectés

Plusieurs implémentations de machines virtuelles Java livrées sur de nombreux systèmes d'exploitation (Solaris, Linux, Windows, HP-UX, Tru64 Unix, OpenVms, Irix), des navigateurs (Internet Explorer, Netscape Navigator) ou outils de supervision (Compaq Insight Manager, Compaq Management Agent).

Pour connaître les versions des systèmes affectés par cette vulnérabilité, consultez les différents bulletins de sécurité mentionnés à la section Documentation.

Résumé

Il est possible d'exécuter du code arbitraire avec les privilèges de l'utilisateur grâce à une appliquette Java habilement conçue.

Description

Une vulnérabilité d'un composant de la machine virtuelle Java (JRE Bytecode Verifier chez Sun et Virtual Machine Verifier chez Microsoft), permet à un utilisateur mal intentionné d'exécuter du code arbitraire en contournant les mécanismes de sécurité restreignant les privilèges d'une appliquette (Sandbox) s'exécutant dans une machine virtuelle Java.

Solution

Appliquez le correctif fourni par l'éditeur :

Documentation

Référence CVE CAN-2002-0076 :

http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2002-0076

Gestion détaillée du document

    le 19 mars 2002
    version initiale.
    le 06 juin 2002
    seconde version : prise en compte du bulletin de sécurité SSRT0822 de Compaq.
    le 01 avril 2003
    ajout bulletin de sécurité de SGI. Ajout référence CVE.