CERTA : Vulnérabilités de Java
mars 2008 par CERT-FR
1 Risque
* Exécution de code arbitraire à distance ;
* déni de service à distance ;
* contournement de la politique de sécurité ;
* atteinte à l’intégrité des données ;
* atteinte à la confidentialité des données.
2 Systèmes affectés
* Java Web Start 1.x et 6.x ;
* Sun Java JDK 1.5.x et 1.6.x ;
* Sun Java JRE 1.4.x, 1.5.x et 1.6.x ;
* Sun Java SDK 1.3.1_21 et précédents, 1.4.2_16 et précédents.
3 Résumé
Plusieurs vulnérabilités dans les produits Java précédemment cités permettent à
un utilisateur malveillant de contourner, sous diverses formes, la politique de
sécurité.
4 Description
Douze vulnérabilités ont été identifiées dans les produits Java listés
ci-dessus. Ces vulnérabilités permettent à un utilisateur malveillant :
* d’exécuter du code arbitraire, localement ou à distance ;
* de provoquer un déni de service à distance ;
* de contourner la politique de sécurité ;
* de porter atteinte à l’intégrité ou à la confidentialité des données.
5 Solution
Se référer au bulletin de sécurité de l’éditeur pour l’obtention des correctifs
(cf. section Documentation).
6 Documentation
* Bulletins de sécurité Sun du 04 mars 2008 :
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233321-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233322-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233323-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233324-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233325-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233326-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-233327-1
* Alerte de sécurité de l’US-CERT TA08-066A du 06 mars 2008 :
http://www.us-cert.gov/cas/techalerts/TA08-066A.html
* Référence CVE CVE-2008-1185 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1185
* Référence CVE CVE-2008-1186 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1186
* Référence CVE CVE-2008-1187 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1187
* Référence CVE CVE-2008-1188 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1188
* Référence CVE CVE-2008-1189 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1189
* Référence CVE CVE-2008-1190 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1190
* Référence CVE CVE-2008-1191 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1191
* Référence CVE CVE-2008-1192 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1192
* Référence CVE CVE-2008-1193 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1193
* Référence CVE CVE-2008-1194 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1194
* Référence CVE CVE-2008-1195 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1195
* Référence CVE CVE-2008-1196 :