|
 |
|
Sun Java JRE/JDK Verarbeitung von XSLT-Stylesheets in XML-Signaturen Sicherheitslücke
|
|
|
|
|
Secunia Advisory:
|
SA26031
|
|
|
Herausgegeben:
|
2007-07-11
|
|
Last Update:
|
2007-07-13
|
|
|
Gefahrenstufe:
|
Mittelgradig kritisch
|
|
Auswirkung:
|
Systemzugriff
|
|
Von Wo:
|
Aus dem Internet
|
|
Lösungsstatus:
|
Hersteller-Patch
|
|
| Software: | Sun Java JDK 1.6.x
Sun Java JRE 1.6.x / 6.x
|
| | CVE reference: | CVE-2007-3716 (Secunia mirror)
|
|
|
Want to know the next time vulnerabilities are fixed in this product?
- Companies can be alerted via email and SMS! |
|
|
Beschreibung:
Brad Hill hat eine Sicherheitslücke in Sun JDK und JRE gemeldet, die böswillige Personen ausnutzen können, um ein verwundbares System zu kompromittieren.
Die Sicherheitslücke besteht in einem Fehler bei der Verarbeitung von XSLT-Stylesheets in XML-Signaturen. Diese kann ausgenutzt werden, um beliebigen Code auszuführen, indem man z.B. eine Anwendung dazu bringt, eine speziell präparierte XML-Signatur zu verarbeiten.
Die Sicherheitslücke wurde in JDK und JRE 6 Update 1 und früher gemeldet. Angeblich sind Sun SDK und JRE 5.0 und 1.4.x nicht betroffen.
Do you have this product installed on your home computer? Scan using the free Personal Software Inspector. Check if a vulnerable version is installed on computers in your corporate network, using the Network Software Inspector.
Lösung:
Verwenden Sie die Patches.
Aktualisieren Sie auf JDK und JRE 6 Update 2 oder höher.
http://java.sun.com/javase/downloads/index.jsp
Java SE 6 Update 2 für Solaris ist über die folgenden Patches verfügbar:
* Java SE 6 Update 2 (Patch 125136-02 oder höher)
* Java SE 6 Update 2 (Patch 125137-02 oder höher (64bit))
* Java SE 6_x86 Update 2 (Patch 125139-02 oder höher (64bit))
Gemeldet und/oder entdeckt von:
Der Hersteller nennt Brad Hill, iSEC Partners.
Änderungen:
2007-07-13: CVE-Referenz hinzugefügt. "Beschreibung" aktualisiert. Link zu iSEC Partners hinzugefügt.
Original Advisory:
Sun:
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102993-1
iSEC Partners:
http://www.isecpartners.com/files/XMLDSIG_Command_Injection.pdf
|
|
|
|
|
Please note: The information that this Secunia Advisory is based on comes from a third party unless stated otherwise.
Secunia collects, validates, and verifies all vulnerability reports issued by security research groups, vendors, and others.
|
|
|
|
10 Related Secunia Security Advisories
|
|
|
1. Sun Java JDK / JRE Mehrere Sicherheitslücken
|
|
2. Sun Java JDK / JRE Mehrere Sicherheitslücken
|
|
3. Sun JRE Applet-Verwaltung Zwei Sicherheitslücken
|
|
4. Sun Java Runtime Environment externe XML-Entities Sicherheitsumgehung
|
|
5. Sun JRE Applet-Verwaltung Sicherheitslücke
|
|
6. Sun Java JRE mehrere Sicherheitslücken
|
|
7. Java JRE/JDK JSSE DoS und Sicherheitsumgehung
|
|
8. Sun Java Web Start Verarbeitung von JNLP-Dateien Pufferüberlauf
|
|
9. Sun JDK JavaDoc Cross-Site-Scripting-Sicherheitslücke
|
|
10. Sun JDK und JRE ICC- und BMP-Parser Sicherheitslücken
|
|
|
Send Feedback to Secunia
|
|
If you have new information regarding this Secunia advisory or a product in our database, please send it to us using either our web form or email us at vuln@secunia.com.
Ideas, suggestions, and other feedback are most welcome.
|
|
|
|
|
|
Secunia PSI
Scan | Patch | Track
Free Download
|
|
|
Secunia Poll
|
|
|
|
|
 |
|
|
Most Popular Advisories
|
|
|
|
|
|
