Múltiplas vulnerabilidades no Oracle Java SE

Descrição

Várias vulnerabilidades sérias foram encontradas nos componentes do Oracle Java SE. Usuários mal-intencionados podem explorar essas vulnerabilidades para obter privilégios, causar uma negação de serviço ou obter informações confidenciais.

Abaixo está uma lista completa de vulnerabilidades:

1. Uma vulnerabilidade não especificada no subcomponente Bibliotecas pode ser explorada remotamente por um invasor não autenticado por meio de vários protocolos para obter privilégios e causar uma negação parcial de serviço como resultado;
2. Uma vulnerabilidade não especificada no subcomponente Bibliotecas pode ser explorada remotamente por um invasor não autenticado por meio de vários protocolos para obter privilégios e obter informações confidenciais.

---

Detalhes técnicos

Vulnerabilidade (1) está relacionada aos componentes Java SE, Java SE Embedded e JRockit do Oracle Java SE.

A vulnerabilidade (1) é aplicável à implementação de cliente e servidor do Java.

A vulnerabilidade (1) pode ser explorada por meio de applets Java em área restrita e aplicativos Java Web Start em área restrita. Outra maneira de explorar determinada vulnerabilidade é fornecer dados para APIs no Componente especificado. Nesse caso, nem os aplicativos Java Web Start nem os applets Java em área restrita são necessários – o ataque pode ser executado, por exemplo, por meio de um serviço da web.

A vulnerabilidade (2) está relacionada aos componentes Java SE, Java SE Embedded do Oracle Java SE.

Ataque bem-sucedido de vulnerabilidade (2) requer interação do usuário (não com a mesma pessoa que o invasor não autenticado).

A vulnerabilidade (2) é frequentemente aplicável a implementações Java, em que os clientes usam applets Java em área restrita e aplicativos Java Web Start em área restrita, que carregam e executam código não confiável, por exemplo, código proveniente da Internet.

Vulnerabilidade (2) freqüentemente não é aplicável a implantações Java, onde somente o código confiável é carregado e executado em servidores (por exemplo, código fornecido por um administrador).

Comunicados originais

• Oracle Critical Patch Update Advisory

Lista de CVE

Saiba mais

Descubra as estatísticas das vulnerabilidades que se espalham em sua região statistics.securelist.com