製品・ソフトウェアに関する情報

JVN脆弱性詳細

Oracle Java 7 に脆弱性

タイトル	Oracle Java 7 に脆弱性
概要	Oracle が提供する Java 7 には、任意の OS コマンドが実行可能な脆弱性が存在します。 Oracle が提供する Java 7 には、Java のサンドボックスを回避され、任意の OS コマンドが実行可能な脆弱性が存在します。なお、本脆弱性を使用した攻撃コードが公開されており、攻撃も観測されています。
想定される影響	細工された Java アプレットが埋め込まれたウェブページを開くことで、任意の OS コマンドが実行される可能性があります。
対策	[アップデートする] 開発者が提供する情報をもとに、最新版へアップデートしてください。 [ワークアラウンドを実施する] 以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。　* ウェブブラウザの Java プラグインを無効にする
公表日	2012年8月28日0:00
登録日	2012年8月29日15:47
最終更新日	2013年2月4日17:51

CVSS2.0 : 警告
スコア	6.8
ベクター	AV:N/AC:M/Au:N/C:P/I:P/A:P

影響を受けるシステム

サン・マイクロシステムズ

JDK 6 Update 21 およびそれ以前

JRE 6 Update 21 およびそれ以前

オラクル

JDK 6 Update 34 およびそれ以前

JDK 7 Update 6 およびそれ以前

JRE 6 Update 34 およびそれ以前

JRE 7 Update 6 およびそれ以前

日本電気

SecureWare/電子署名開発キット V1.3

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2012-4681	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-4681
National Vulnerability Database (NVD)
2	CVE-2012-4681	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-4681

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-noinfo	https://www.ipa.go.jp/security/vuln/CWE.html#CWEnoinfo

ベンダー情報

No	名前	URL
NEC製品セキュリティ情報
1	NV13-001	http://jpn.nec.com/security-info/secinfo/nv13-001.html
opensuse-security-announce
2	SUSE-SU-2012:1231	http://lists.opensuse.org/opensuse-security-announce/2012-09/msg00032.html
3	SUSE-SU-2012:1398	http://lists.opensuse.org/opensuse-security-announce/2012-10/msg00016.html
Oracle
4	Java SE Downloads	http://www.oracle.com/technetwork/java/javase/downloads/index.html
5	The Security Manager	http://docs.oracle.com/javase/tutorial/essential/environment/security.html
Oracle Security Alert
6	Oracle Security Alert for CVE-2012-4681	http://www.oracle.com/technetwork/topics/security/alert-cve-2012-4681-1835715.html
Red Hat Security Advisory
7	RHSA-2012:1225	http://rhn.redhat.com/errata/RHSA-2012-1225.html
富士通セキュリティ情報
8	TA12-240A	http://software.fujitsu.com/jp/security/vulnerabilities/ta12-240a.html

その他

No	名前	URL
IPA 緊急対策情報
1	Java の脆弱性の修正について(CVE-2012-4681)	http://www.ipa.go.jp/security/ciadr/vul/20120831-oracle.html
JPCERT 緊急報告
2	JPCERT-AT-2012-0028	http://www.jpcert.or.jp/at/2012/at120028.html
JVN
3	JVNTA12-240A	http://jvn.jp/cert/JVNTA12-240A/
US-CERT Technical Cyber Security Alert
4	TA12-240A	http://www.us-cert.gov/cas/techalerts/TA12-240A.html
US-CERT Vulnerability Note
5	VU#636312	http://www.kb.cert.org/vuls/id/636312

変更履歴

No	変更内容	変更日
0	[2012年08月29日] 掲載 [2012年08月31日] 影響を受けるシステム：オラクル (Oracle Security Alert for CVE-2012-4681) の情報を更新対策：内容を更新ベンダ情報：オラクル (Oracle Security Alert for CVE-2012-4681) を追加ベンダ情報：オラクル (Java SE Downloads) を追加 [2012年09月03日] 影響を受けるシステム：バージョンを訂正 [2012年09月14日] ベンダ情報：富士通 (TA12-240A) を追加 [2012年10月23日] ベンダ情報：openSUSE (SUSE-SU-2012:1231) を追加 [2012年11月29日] ベンダ情報：レッドハット (RHSA-2012:1225) を追加] [2013年01月17日] ベンダ情報：openSUSE (SUSE-SU-2012:1398) を追加 [2013年01月23日] 影響を受けるシステム：オラクルの情報を追加影響を受けるシステム：サン・マイクロシステムズの情報を更新 [2013年02月04日] 影響を受けるシステム：日本電気 (NV13-001) の情報を追加ベンダ情報：日本電気 (NV13-001) の情報を追加	2018年2月17日10:37

NVD脆弱性情報

CVE-2012-4681

概要	Multiple vulnerabilities in the Java Runtime Environment (JRE) component in Oracle Java SE 7 Update 6 and earlier allow remote attackers to execute arbitrary code via a crafted applet that bypasses SecurityManager restrictions by (1) using com.sun.beans.finder.ClassFinder.findClass and leveraging an exception with the forName method to access restricted classes from arbitrary packages such as sun.awt.SunToolkit, then (2) using "reflection with a trusted immediate caller" to leverage the getField method to access and modify private fields, as exploited in the wild in August 2012 using Gondzz.class and Gondvv.class.
公表日	2012年8月28日9:55
登録日	2021年1月28日15:03
最終更新日	2024年11月21日10:43

影響を受けるソフトウェアの構成

構成1	以上	以下	より上	未満
cpe:2.3:a:oracle:jdk:1.7.0:update6::::::
cpe:2.3:a:oracle:jre:1.7.0:update6::::::
cpe:2.3:a:oracle:jdk:1.7.0:update5::::::
cpe:2.3:a:oracle:jre:1.7.0:update3::::::
cpe:2.3:a:oracle:jdk:1.7.0:update2::::::
cpe:2.3:a:oracle:jre:1.7.0:update2::::::
cpe:2.3:a:oracle:jdk:1.7.0:update3::::::
cpe:2.3:a:oracle:jre:1.7.0:update5::::::
cpe:2.3:a:oracle:jre:1.7.0:update4::::::
cpe:2.3:a:oracle:jdk:1.7.0:update1::::::
cpe:2.3:a:oracle:jdk:1.7.0:update4::::::
cpe:2.3:a:oracle:jre:1.7.0:update1::::::
cpe:2.3:a:oracle:jdk:1.6.0:-::::::
cpe:2.3:a:oracle:jdk:1.6.0:update10::::::
cpe:2.3:a:oracle:jdk:1.6.0:update33::::::
cpe:2.3:a:oracle:jdk:1.6.0:update25::::::
cpe:2.3:a:oracle:jdk:1.6.0:update29::::::
cpe:2.3:a:oracle:jdk:1.6.0:update31::::::
cpe:2.3:a:oracle:jdk:1.6.0:update27::::::
cpe:2.3:a:oracle:jdk:1.6.0:update12::::::
cpe:2.3:a:oracle:jdk:1.6.0:update13::::::
cpe:2.3:a:oracle:jdk:1.6.0:update14::::::
cpe:2.3:a:oracle:jdk:1.6.0:update24::::::
cpe:2.3:a:oracle:jdk:1.6.0:update23::::::
cpe:2.3:a:oracle:jdk:1.6.0:update22::::::
cpe:2.3:a:oracle:jdk:1.6.0:update32::::::
cpe:2.3:a:oracle:jdk:1.6.0:update26::::::
cpe:2.3:a:oracle:jdk:1.6.0:update34::::::
cpe:2.3:a:oracle:jdk:1.6.0:update30::::::
cpe:2.3:a:oracle:jdk:1.6.0:update11::::::
cpe:2.3:a:oracle:jdk:1.6.0:update1::::::
cpe:2.3:a:oracle:jdk:1.6.0:update2::::::
cpe:2.3:a:oracle:jdk:1.6.0:update3::::::
cpe:2.3:a:oracle:jdk:1.6.0:update4::::::
cpe:2.3:a:oracle:jdk:1.6.0:update5::::::
cpe:2.3:a:oracle:jdk:1.6.0:update7::::::
cpe:2.3:a:oracle:jdk:1.6.0:update6::::::
cpe:2.3:a:oracle:jre:1.6.0:update30::::::
cpe:2.3:a:oracle:jre:1.6.0:update32::::::
cpe:2.3:a:oracle:jre:1.6.0:update25::::::
cpe:2.3:a:oracle:jre:1.6.0:update33::::::
cpe:2.3:a:oracle:jre:1.6.0:update24::::::
cpe:2.3:a:oracle:jre:1.6.0:update26::::::
cpe:2.3:a:oracle:jre:1.6.0:update27::::::
cpe:2.3:a:oracle:jre:1.6.0:update22::::::
cpe:2.3:a:oracle:jre:1.6.0:update31::::::
cpe:2.3:a:oracle:jre:1.6.0:update23::::::
cpe:2.3:a:oracle:jre:1.6.0:update34::::::
cpe:2.3:a:oracle:jre:1.6.0:update29::::::
cpe:2.3:a:oracle:jre:1.7.0:-::::::
cpe:2.3:a:oracle:jre:1.6.0:-::::::
cpe:2.3:a:oracle:jre:1.6.0:update1::::::
cpe:2.3:a:oracle:jre:1.6.0:update10::::::
cpe:2.3:a:oracle:jre:1.6.0:update11::::::
cpe:2.3:a:oracle:jre:1.6.0:update12::::::
cpe:2.3:a:oracle:jre:1.6.0:update13::::::
cpe:2.3:a:oracle:jre:1.6.0:update14::::::
cpe:2.3:a:oracle:jre:1.6.0:update15::::::
cpe:2.3:a:oracle:jre:1.6.0:update16::::::
cpe:2.3:a:oracle:jre:1.6.0:update17::::::
cpe:2.3:a:oracle:jre:1.6.0:update18::::::
cpe:2.3:a:oracle:jre:1.6.0:update19::::::
cpe:2.3:a:oracle:jre:1.6.0:update2::::::
cpe:2.3:a:oracle:jre:1.6.0:update20::::::
cpe:2.3:a:oracle:jre:1.6.0:update21::::::
cpe:2.3:a:oracle:jre:1.6.0:update3::::::
cpe:2.3:a:oracle:jre:1.6.0:update5::::::
cpe:2.3:a:oracle:jre:1.6.0:update4::::::
cpe:2.3:a:oracle:jre:1.6.0:update6::::::
cpe:2.3:a:oracle:jre:1.6.0:update7::::::
cpe:2.3:a:oracle:jre:1.6.0:update9::::::
cpe:2.3:a:oracle:jdk:1.6.0:update15::::::
cpe:2.3:a:oracle:jdk:1.6.0:update16::::::
cpe:2.3:a:oracle:jdk:1.6.0:update17::::::
cpe:2.3:a:oracle:jdk:1.6.0:update18::::::
cpe:2.3:a:oracle:jdk:1.6.0:update19::::::
cpe:2.3:a:oracle:jdk:1.6.0:update20::::::
cpe:2.3:a:oracle:jdk:1.6.0:update21::::::
cpe:2.3:a:oracle:jdk:1.6.0:update8::::::
cpe:2.3:a:oracle:jdk:1.6.0:update9::::::
cpe:2.3:a:oracle:jdk:1.7.0:-::::::

構成2	以上	以下	より上	未満
cpe:2.3:o:redhat:enterprise_linux_desktop:6.0:::::::*
cpe:2.3:o:redhat:enterprise_linux_server:6.0:::::::*
cpe:2.3:o:redhat:enterprise_linux_workstation:6.0:::::::*
cpe:2.3:o:redhat:enterprise_linux_eus:6.3:::::::*

関連情報、対策とツール

No	URL	タグ
1	http://blog.fireeye.com/research/2012/08/zero-day-season-is-not-over-yet.html	Third Party Advisory
2	http://blog.fireeye.com/research/2012/08/zero-day-season-is-not-over-yet.html	Third Party Advisory
3	http://immunityproducts.blogspot.com/2012/08/java-0day-analysis-cve-2012-4681.html	Exploit Third Party Advisory
4	http://immunityproducts.blogspot.com/2012/08/java-0day-analysis-cve-2012-4681.html	Exploit Third Party Advisory
5	http://labs.alienvault.com/labs/index.php/2012/new-java-0day-exploited-in-the-wild/	Broken Link Exploit
6	http://labs.alienvault.com/labs/index.php/2012/new-java-0day-exploited-in-the-wild/	Broken Link Exploit
7	http://lists.opensuse.org/opensuse-security-announce/2012-09/msg00032.html	Broken Link
8	http://lists.opensuse.org/opensuse-security-announce/2012-09/msg00032.html	Broken Link
9	http://lists.opensuse.org/opensuse-security-announce/2012-10/msg00016.html	Broken Link
10	http://lists.opensuse.org/opensuse-security-announce/2012-10/msg00016.html	Broken Link
11	http://marc.info/?l=bugtraq&m=135109152819176&w=2	Issue Tracking Mailing List Third Party Advisory
12	http://marc.info/?l=bugtraq&m=135109152819176&w=2	Issue Tracking Mailing List Third Party Advisory
13	http://marc.info/?l=bugtraq&m=135109152819176&w=2	Issue Tracking Mailing List Third Party Advisory
14	http://marc.info/?l=bugtraq&m=135109152819176&w=2	Issue Tracking Mailing List Third Party Advisory
15	http://rhn.redhat.com/errata/RHSA-2012-1225.html	Third Party Advisory
16	http://rhn.redhat.com/errata/RHSA-2012-1225.html	Third Party Advisory
17	http://secunia.com/advisories/51044	Not Applicable
18	http://secunia.com/advisories/51044	Not Applicable
19	http://www.deependresearch.org/2012/08/java-7-vulnerability-analysis.html	Third Party Advisory
20	http://www.deependresearch.org/2012/08/java-7-vulnerability-analysis.html	Third Party Advisory
21	http://www.oracle.com/technetwork/topics/security/alert-cve-2012-4681-1835715.html	Vendor Advisory
22	http://www.oracle.com/technetwork/topics/security/alert-cve-2012-4681-1835715.html	Vendor Advisory
23	http://www.securityfocus.com/bid/55213	Third Party Advisory VDB Entry
24	http://www.securityfocus.com/bid/55213	Third Party Advisory VDB Entry
25	http://www.us-cert.gov/cas/techalerts/TA12-240A.html	Third Party Advisory US Government Resource
26	http://www.us-cert.gov/cas/techalerts/TA12-240A.html	Third Party Advisory US Government Resource
27	https://community.rapid7.com/community/metasploit/blog/2012/08/27/lets-start-the-week-with-a-new-java-0day	Third Party Advisory
28	https://community.rapid7.com/community/metasploit/blog/2012/08/27/lets-start-the-week-with-a-new-java-0day	Third Party Advisory

共通脆弱性一覧

構成1	以上	以下	より上	未満
cpe:2.3:a:oracle:jdk:1.7.0:update6::::::
cpe:2.3:a:oracle:jre:1.7.0:update6::::::
cpe:2.3:a:oracle:jdk:1.7.0:update5::::::
cpe:2.3:a:oracle:jre:1.7.0:update3::::::
cpe:2.3:a:oracle:jdk:1.7.0:update2::::::
cpe:2.3:a:oracle:jre:1.7.0:update2::::::
cpe:2.3:a:oracle:jdk:1.7.0:update3::::::
cpe:2.3:a:oracle:jre:1.7.0:update5::::::
cpe:2.3:a:oracle:jre:1.7.0:update4::::::
cpe:2.3:a:oracle:jdk:1.7.0:update1::::::
cpe:2.3:a:oracle:jdk:1.7.0:update4::::::
cpe:2.3:a:oracle:jre:1.7.0:update1::::::
cpe:2.3:a:oracle:jdk:1.6.0:-::::::
cpe:2.3:a:oracle:jdk:1.6.0:update10::::::
cpe:2.3:a:oracle:jdk:1.6.0:update33::::::
cpe:2.3:a:oracle:jdk:1.6.0:update25::::::
cpe:2.3:a:oracle:jdk:1.6.0:update29::::::
cpe:2.3:a:oracle:jdk:1.6.0:update31::::::
cpe:2.3:a:oracle:jdk:1.6.0:update27::::::
cpe:2.3:a:oracle:jdk:1.6.0:update12::::::
cpe:2.3:a:oracle:jdk:1.6.0:update13::::::
cpe:2.3:a:oracle:jdk:1.6.0:update14::::::
cpe:2.3:a:oracle:jdk:1.6.0:update24::::::
cpe:2.3:a:oracle:jdk:1.6.0:update23::::::
cpe:2.3:a:oracle:jdk:1.6.0:update22::::::
cpe:2.3:a:oracle:jdk:1.6.0:update32::::::
cpe:2.3:a:oracle:jdk:1.6.0:update26::::::
cpe:2.3:a:oracle:jdk:1.6.0:update34::::::
cpe:2.3:a:oracle:jdk:1.6.0:update30::::::
cpe:2.3:a:oracle:jdk:1.6.0:update11::::::
cpe:2.3:a:oracle:jdk:1.6.0:update1::::::
cpe:2.3:a:oracle:jdk:1.6.0:update2::::::
cpe:2.3:a:oracle:jdk:1.6.0:update3::::::
cpe:2.3:a:oracle:jdk:1.6.0:update4::::::
cpe:2.3:a:oracle:jdk:1.6.0:update5::::::
cpe:2.3:a:oracle:jdk:1.6.0:update7::::::
cpe:2.3:a:oracle:jdk:1.6.0:update6::::::
cpe:2.3:a:oracle:jre:1.6.0:update30::::::
cpe:2.3:a:oracle:jre:1.6.0:update32::::::
cpe:2.3:a:oracle:jre:1.6.0:update25::::::
cpe:2.3:a:oracle:jre:1.6.0:update33::::::
cpe:2.3:a:oracle:jre:1.6.0:update24::::::
cpe:2.3:a:oracle:jre:1.6.0:update26::::::
cpe:2.3:a:oracle:jre:1.6.0:update27::::::
cpe:2.3:a:oracle:jre:1.6.0:update22::::::
cpe:2.3:a:oracle:jre:1.6.0:update31::::::
cpe:2.3:a:oracle:jre:1.6.0:update23::::::
cpe:2.3:a:oracle:jre:1.6.0:update34::::::
cpe:2.3:a:oracle:jre:1.6.0:update29::::::
cpe:2.3:a:oracle:jre:1.7.0:-::::::
cpe:2.3:a:oracle:jre:1.6.0:-::::::
cpe:2.3:a:oracle:jre:1.6.0:update1::::::
cpe:2.3:a:oracle:jre:1.6.0:update10::::::
cpe:2.3:a:oracle:jre:1.6.0:update11::::::
cpe:2.3:a:oracle:jre:1.6.0:update12::::::
cpe:2.3:a:oracle:jre:1.6.0:update13::::::
cpe:2.3:a:oracle:jre:1.6.0:update14::::::
cpe:2.3:a:oracle:jre:1.6.0:update15::::::
cpe:2.3:a:oracle:jre:1.6.0:update16::::::
cpe:2.3:a:oracle:jre:1.6.0:update17::::::
cpe:2.3:a:oracle:jre:1.6.0:update18::::::
cpe:2.3:a:oracle:jre:1.6.0:update19::::::
cpe:2.3:a:oracle:jre:1.6.0:update2::::::
cpe:2.3:a:oracle:jre:1.6.0:update20::::::
cpe:2.3:a:oracle:jre:1.6.0:update21::::::
cpe:2.3:a:oracle:jre:1.6.0:update3::::::
cpe:2.3:a:oracle:jre:1.6.0:update5::::::
cpe:2.3:a:oracle:jre:1.6.0:update4::::::
cpe:2.3:a:oracle:jre:1.6.0:update6::::::
cpe:2.3:a:oracle:jre:1.6.0:update7::::::
cpe:2.3:a:oracle:jre:1.6.0:update9::::::
cpe:2.3:a:oracle:jdk:1.6.0:update15::::::
cpe:2.3:a:oracle:jdk:1.6.0:update16::::::
cpe:2.3:a:oracle:jdk:1.6.0:update17::::::
cpe:2.3:a:oracle:jdk:1.6.0:update18::::::
cpe:2.3:a:oracle:jdk:1.6.0:update19::::::
cpe:2.3:a:oracle:jdk:1.6.0:update20::::::
cpe:2.3:a:oracle:jdk:1.6.0:update21::::::
cpe:2.3:a:oracle:jdk:1.6.0:update8::::::
cpe:2.3:a:oracle:jdk:1.6.0:update9::::::
cpe:2.3:a:oracle:jdk:1.7.0:-::::::