Lue uutinen mobiilisivustolla

Sun Javassa on aukko

21.3.2005 13:00 Viestintäviraston tietoturvaryhmän mukaan Sun Microsystemsin Java Web Start -ohjelmistosta on löytynyt vakava haavoittuvuus. Sun Javaa käytetään useissa selaimissa. Cert-fi huomauttaa, että haavoittuvuuden hyväksikäyttö onnistuu myös Unix- ja Linux-järjestelmissä.

Java Web Start asentuu yhdessä Java Runtime Environment -ohjelmiston kanssa. JWS:n avulla käyttäjä voi helposti suorittaa www-sivun kautta Java-sovelluksia.

Cert-fi:n mukaan JWS:n haavoittuvuus liittyy tiettyjen jnlp (java network launch protocol) -tiedoston sisältämien parametrien virheelliseen käsittelyyn.

- Haavoittuvuuden avulla Java-virtuaalikoneelle voidaan syöttää turvapolitiikkaan liittyviä parametreja, ja Java Web Startin käynnistämä ohjelmisto voidaan suorittaa näillä parametreilla, Cert-fi selventää.

Hyökkääjä voi suorittaa omia komentojaan haavoittuvuuden avulla ja ohittaa Javan Sandbox-suojamekanismin. Aukon hyödyntäminen onnistuu, jos käyttäjä avaa vihamielisen www-sivun, Cert-fi varoittelee.

Haavoittuvuuden löysi suomalainen tietoturvakonsultti Jouko Pynnönen. Hän ilmoitti aukosta Sun Microsystemsille syykuussa 2004.

Pynnösen varoituksen mukaan Java Web Start -ohjelmistot J2SE 1.4.2-versioissa ennen 1.4.2_07:ää ovat haavoittuvia. J2SE 5.0 ja myöhemmät, ja 1.4.2:ta aiemmat versiot eivät ole alttiita tälle haavoittuvuudelle.

Java-version selvittäminen onnistuu esimerkiksi osoitteessa http://javatester.org/version.html

Jaakko Kuivalainen toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Ampuja keskeytti opinnot ja armeijan

• Poliisi: Ajatus ampumisesta tuli vain hieman ennen veritekoa
• Pohjois-Korean Kim kävi huvipuistossa ja herkistyi
• Asiantuntija: Punkkipaniikki on jo ylimitoitettua
• Hyvinkään ampumisissa haavoittuneet leikattu – naispoliisi yhä kriittisessä tilassa