OpenJDK 'IcedTea'插件JAR签名校验安全绕过漏洞

CVE编号

CVE-2011-0025

利用情况

暂无

补丁情况

N/A

披露时间

2011-02-05

漏洞描述

OpenJDK是一款Sun公司为Java平台构建的Java开发环境的开源版本。当处理多个已签名或部分签名的JAR文件时，IcedTea java插件不正确校验签名，允许攻击者诱使用户执行看起来来自校验过的源的代码。

解决建议

用户可参考如下供应商提供的安全补丁：Ubuntu 9.10:icedtea6-plugin 6b20-1.9.5-0ubuntu1~9.10.1Ubuntu 10.04 LTS:icedtea6-plugin 6b20-1.9.5-0ubuntu1~10.04.1Ubuntu 10.10:icedtea6-plugin 6b20-1.9.5-0ubuntu1

参考链接
http://blog.fuseyism.com/index.php/2011/02/01/security-icedtea6-178-185-195-released/
http://icedtea.classpath.org/hg/release/icedtea-web-1.0?cmd=changeset;node=3b...
http://secunia.com/advisories/43135
http://security.gentoo.org/glsa/glsa-201406-32.xml
http://www.debian.org/security/2011/dsa-2224
http://www.mandriva.com/security/advisories?name=MDVSA-2011:054
http://www.securityfocus.com/bid/46110
http://www.ubuntu.com/usn/USN-1055-1
https://exchange.xforce.ibmcloud.com/vulnerabilities/65151

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	redhat	icedtea	1.7	-
	运行在以下环境
	应用	redhat	icedtea	1.7.1	-
	运行在以下环境
	应用	redhat	icedtea	1.7.2	-
	运行在以下环境
	应用	redhat	icedtea	1.7.3	-
	运行在以下环境
	应用	redhat	icedtea	1.7.4	-
	运行在以下环境
	应用	redhat	icedtea	1.7.5	-
	运行在以下环境
	应用	redhat	icedtea	1.7.6	-
	运行在以下环境
	应用	redhat	icedtea	1.7.7	-
	运行在以下环境
	应用	redhat	icedtea	1.8	-
	运行在以下环境
	应用	redhat	icedtea	1.8.1	-
	运行在以下环境
	应用	redhat	icedtea	1.8.2	-
	运行在以下环境
	应用	redhat	icedtea	1.8.3	-
	运行在以下环境
	应用	redhat	icedtea	1.8.4	-
	运行在以下环境
	应用	redhat	icedtea	1.9	-
	运行在以下环境
	应用	redhat	icedtea	1.9.1	-
	运行在以下环境
	应用	redhat	icedtea	1.9.2	-
	运行在以下环境
	应用	redhat	icedtea	1.9.3	-
	运行在以下环境
	应用	redhat	icedtea	1.9.4	-

CVSS3评分 6.8

• 攻击路径 网络
• 攻击复杂度 N/A
• 权限要求 无
• 影响范围 N/A
• 用户交互 需要
• 可用性 部分地
• 保密性 部分地
• 完整性 部分地

AV:N/AC:M/Au:N/C:P/I:P/A:P CWE-ID 漏洞类型 CWE-20 输入验证不恰当