JREに脆弱性、古い脆弱性を狙うエクスプロイトも

Javaの実行環境「Java Runtime Environment」に脆弱性が発見された。またこれと前後して、古い脆弱性を狙うエクスプロイトも確認されている。

[ITmedia]

　Sun Microsystemsは5月31日付で、Javaの実行環境「Java Runtime Environment（JRE）」に2種類の脆弱性が存在することを明らかにした。悪用されると、信頼できないアプレットやアプリケーションの権限昇格につながる恐れがある。

　脆弱性が存在するのはJDK／JRE 6、JDK／JRE 5.0 Update 10以前、SDK／JRE 1.4.2_14以前およびSDK／JRE 1.3.1_19以前だ。

　1つめの脆弱性は、画像処理コード（ICCパーサー）に存在するバッファオーバーフロー。悪用されると、信頼できないアプレットやアプリケーションの権限が昇格し、本来ならばアクセスできないはずのローカルファイルの読み書きが可能になったり、ローカルアプリケーションを実行されたりする可能性がある。もう1つの脆弱性は、Java Virtual Machineのハングアップにつながるという。

　Sunでは問題を修正したJDK／JREをリリース。JDK／JRE 6 Update 1以降、JDK／JRE 5.0 Update 11以降もしくはSDK and JRE 1.3.1_20以降にアップデートするよう推奨している。

　また、この問題とは別のJREの脆弱性を狙うエクスプロイトが確認されたことを受け、SANS Internet Storm Centerは6月7日、注意を呼び掛けている。

　エクスプロイトの対象となっている脆弱性は2007年1月に公表されたもので、JDK／JRE 5.0 Update 9以前、SDK／JRE 1.4.2_12以前およびSDK／JRE 1.3.1_18以前に影響がある。GIF画像の処理に問題があり、細工を施した画像を読み込むとバッファオーバーフローが発生し、システムを乗っ取られる恐れがあるというものだ。

　確認されたエクスプロイトは、細工を施した悪意ある画像を表示させてメモリ破損を引き起こし、コード実行につなげるという。このコードにはダウンローダが含まれており、パスワードを盗み取る別のマルウェアを落としてくる仕組みになっているという。

　SANSがこのコードを30種類以上のウイルス対策ソフトでチェックしてみたところ、悪意あるJavaクラスを検出できたのはわずか1製品だけだった。この結果を受けSANSは、多くのウイルス対策ソフトでは、RTF形式のドキュメントに含まれた実行ファイルと同様、Javaクラスのプロパティをチェックできないことに懸念を示している。