Bulletin d'alerte Debian

DSA-2224-1 openjdk-6 -- Plusieurs vulnérabilités

Date du rapport :
20 avril 2011
Paquets concernés :
openjdk-6
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2010-4351, CVE-2010-4448, CVE-2010-4450, CVE-2010-4465, CVE-2010-4469, CVE-2010-4470, CVE-2010-4471, CVE-2010-4472, CVE-2011-0025, CVE-2011-0706.
Plus de précisions :

Plusieurs vulnérabilités de sécurité ont été découvertes dans OpenJDK, une implémentation de la plate-forme Java.

  • CVE-2010-4351

    Le SecurityManager JNLP est renvoyé depuis la méthode checkPermission au lieu de lancer une exception dans certaines circonstances, ce qui pourrait permettre à des attaquants dépendants du contexte de contourner la politique de sécurité voulue en créant des instances de ClassLoader.

  • CVE-2010-4448

    Des appliquettes malveillantes permettent de réaliser un empoisonnement du cache DNS.

  • CVE-2010-4450

    Une variable d'environnement LD_LIBRARY_PATH vide (mais configurée) provoque un chemin de recherche de bibliothèques mal interprété, donnant lieu à l'exécution de code à partir de sources éventuellement non fiables.

  • CVE-2010-4465

    Des appliquettes malveillantes peuvent étendre leurs droits en abusant les horloges Swing.

  • CVE-2010-4469

    Le compilateur à la volée Hotspot fait des erreurs de compilation sur des suites d'octets contrefaites, provoquant une corruption de tas.

  • CVE-2010-4470

    JAXP peut être exploité par du code non fiable pour augmenter des droits.

  • CVE-2010-4471

    Java2D peut être exploité par du code non fiable pour augmenter des droits.

  • CVE-2010-4472

    Du code non fiable peut remplacer l'implémentation DSIG XML.

  • CVE-2011-0025

    Les signatures de fichiers JAR ne sont pas vérifiées correctement. Cela permet à des attaquants distants de piéger des utilisateurs dans l'exécution de code qui semble provenir d'une source fiable.

  • CVE-2011-0706

    La classe JNLPClassLoader permet à des attaquants distants d'obtenir des droits à l'aide de moyens inconnus liés à plusieurs signataires et l'affectation d'un descripteur de sécurité inadéquat.

De plus, cette mise à jour de sécurité contient des correctifs de stabilité, comme le basculement vers la version de Hotspot recommandée (hs14) pour cette version spécifique d'OpenJDK.

Pour la distribution oldstable (Lenny), ces problèmes ont été corrigés dans la version 6b18-1.8.7-2~lenny1.

Pour la distribution stable (Squeeze), ces problèmes ont été corrigés dans la version 6b18-1.8.7-2~squeeze1.

Pour la distribution testing (Wheezy) et la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 1.8.7-1.

Nous vous recommandons de mettre à jour vos paquets openjdk-6.