BUGTRAQ ID: 57246

CVE ID: CVE-2013-0422

Oracle Java Runtime Environment (JRE)是一款為JAVA應用程序提供可靠運行環境的解決方案。

Oracle JRE7環境中的jmx.mbeanserver.JmxMBeanServer類存在沙盒繞過漏洞使得遠程攻擊者可以繞過java securityManager的檢查遠程執行任意java代碼控制用戶系統。

目前已知受影響環境為最新版本Oracle JRE7 update 10及其更早版本。經測試Oracle Java 6不受影響。

0

Oracle Java 7 Update 10

臨時解決方法：

如果您不能立刻安裝補丁或者升級，建議您采取以下措施以降低威脅：

* 在瀏覽器中暫時禁用Java

參考：http://krebsonsecurity.com/how-to-unplug-java-from-the-browser/

對于Windows用戶:

1) Firefox

工具->附加組件(Ctrl-Shift-A)->插件，將所有帶有Java字樣的禁用，重啟Firefox。

安裝NoScript擴展，NoScript選項->嵌入的對象->禁止Java

2) Chrome

點擊右上角的扳手->設置->點擊最下面的"顯示高級設置"->隱私設置->內容設置->插件

->停用單個插件->Java->停用

3) IE

如果您已經升級到JRE 7 update 10可以利用它新增的一個安全特性來禁用JAVA。

打開控制面板，搜索Java，在java控制面板中選擇"安全"，然后清空"Enable Java

content in the browser"的復選框。

http://www.java.com/en/download/help/disable_browser.xml

對于JRE 7 update 10以下的版本：

控制面板->Java->Java->查看->用戶->禁用所有版本的JRE(Java運行時環境)

控制面板->Java->Java->查看->系統->禁用所有版本的JRE(Java運行時環境)

但是這一方法只適用于XP、2003，不適用于Vista、Win7等高版本的Windows，你無法清

空相應的啟用復選框。此時需要使用regedit修改注冊表。

這個注冊表鍵值位于:

--------------------------------------------------------------------------

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Plug-in]

[HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Plug-in\<版本號>]

"UseJava2IExplorer"=dword:00000001

--------------------------------------------------------------------------

所有版本的Java都有一個UseJava2IExplorer，其值缺省為1，修改成0即可禁用Java。

如果是64位系統也安裝了32位Java的話，相關注冊表鍵值位于:

--------------------------------------------------------------------------

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft\Java Plug-in]

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft\Java Plug-in\<版本號>]

"UseJava2IExplorer"=dword:00000001

--------------------------------------------------------------------------

廠商補丁：

Oracle

------

Oracle已經發布了針對該漏洞的補丁Java 7 update 11和相關安全公告：

http://www.oracle.com/technetwork/topics/security/alert-cve-2013-0422-1896849.html

建議Java用戶盡快安裝最新的升級包。

對于Windows 用戶，首先您應當在控制面板->添加或刪除程序(Win7下是控制面板->程序->程序和功能)中確認您是否已經安裝java，以及安裝的版本，例如是JDK還是JRE，是32位還是64位。如果您尚未安裝Java,則不必繼續下面的操作。

對于java開發人員，可以從下列鏈接手工下載最新的Java SE JDK 7和 JRE 7：

http://www.oracle.com/technetwork/java/javase/downloads/index.html

對于通過瀏覽器使用Java SE的普通用戶，可以直接訪問http://java.com ，根據提示信息下載最新的java JRE。如果您在使用64位Windows系統，您可能需要分別使用32位和64位的瀏覽器來訪問java.com以分別下載32位和64位的JRE。

總結

以上是生活随笔為你收集整理的commbean java_Oracle Java 7 JmxMBeanServer类远程代码执行漏洞的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。