Sun Java SE "Java Web Start Installer" 代码执行漏洞

CNNVD-ID编号	CNNVD-200911-046
CVE编号	CVE-2009-3866
发布时间	2009-10-30
更新时间	2009-11-05
漏洞类型	权限许可和访问控制
漏洞来源	Tomasz 'Tometzky' Ostrowski, an anonymous researcher via iDefense, Peter Csepely, an anonymous researcher via ZDI, Peter Vreugdenhil, regenrecht, Coda Hale, BFK edv-consulting GmbH
危险等级	超危
威胁类型	远程
厂商	sun

漏洞介绍

JDK和JRE更新17版之前的6版中的Sun Java SE中的Java Web Start Installer，当除去安装程序扩展名时没有适当地使用安全模型权限，这允许远程攻击者通过修改某个JNLP文件以具有一个能指向非计划内可信应用程序的URL字段来执行任意代码。该漏洞又称Bug Id 6872824。

漏洞补丁

目前暂无Sun Java SE "Java Web Start Installer" 代码执行漏洞的补丁信息，如Sun Java SE "Java Web Start Installer" 代码执行漏洞补丁信息有更新，便会立即同步；

参考网址

来源: MISC

链接：http://zerodayinitiative.com/advisories/ZDI-09-077/
来源: VUPEN

名称: ADV-2009-3131

链接：http://www.vupen.com/english/advisories/2009/3131
来源: SUNALERT

名称: 269870

链接：http://sunsolve.sun.com/search/document.do?assetkey=1-66-269870-1
来源: BID

名称: 36881

链接：http://www.securityfocus.com/bid/36881
来源: GENTOO

名称: GLSA-200911-02

链接：http://security.gentoo.org/glsa/glsa-200911-02.xml
来源: SECUNIA

名称: 37239

链接：http://secunia.com/advisories/37239
来源: SECUNIA

名称: 37231

链接：http://secunia.com/advisories/37231
来源: SUSE

名称: SUSE-SA:2009:058

链接：http://lists.opensuse.org/opensuse-security-announce/2009-11/msg00010.html

受影响实体

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200911-046