搜索

[7967] 2014-04-18_国外安全厂商披露30个Java云服务的0day细节

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-17
2014-04-18_国外安全厂商披露30个Java云服务的0day细节 国 外 安 全 厂 商 披 露 3 0 个 J a v a 云 服 务 的 0 d a y 细 节 p y n w o l f   F r e e B u f   2 0 1 4 - 0 4 - 1 8 波 兰 的 一 家 安 全 公 司 近 日 揭 示 批 漏 了 波 兰 的 一 家 安 全 公 司 近 日 揭 示 批 漏 了 3 0 个 个 J a v a 云 服 务 的 云 服 务 的 0 d a y 漏 洞 和 相 应 利 用 代 码 ， 这 些 漏 洞 允 许 客 户 在 其 服 务 器 集 漏 洞 和 相 应 利 用 代 码 ， 这 些 漏 洞 允 许 客 户 在 其 服 务 器 集 群 上 部 署 群 上 部 署 J a v a 应 用 程 序 。 应 用 程 序 。 该 公 司 在 一 月 底 二 月 初 的 时 候 ， 已 经 向 O r a c l e 递 交 了 这 些 漏 洞 及 有 关 的 P o C 代 码 ， 并 且 确 认 他 们 已 经 收 到 了 报 告 。 截 至 2 月 末 的 时 候 ， O r a c l e 的 月 度 报 告 中 报 告 了 相 关 问 题 ， 告 知 安 全 研 究 人 员 ， 已 修 复 了 发 现 了 的 2 4 个 漏 洞 ， 剩 下 的 六 个 漏 洞 也 已 经 研 究 过 ， 正 在 修 复 程 序 代 码 。 让 研 究 人 员 特 别 担 心 的 是 U S 1 和 E M E A 1 数 据 中 心 ， 希 望 O r a c l e 公 司 在 修 补 完 所 有 漏 洞 可 以 通 知 他 们 。 不 过 到 现 在 他 们 还 没 有 ， 该 安 全 公 司 认 为 他 们 已 经 给 O r a c l e 公 司 足 够 的 时 间 修 复 问 题 ， 所 以 决 定 公 布 他 们 发 现 的 漏 洞 。 “ 在 初 步 报 告 两 个 月 后 ， O r a c l e 公 司 依 旧 没 有 在 他 们 的 商 业 运 数 据 中 心 公 布 关 于 成 功 解 决 漏 洞 问 题 的 报 告 。 ” 该 安 全 公 司 指 出 。 “ O r a c l e 通 讯 仍 然 作 为 云 计 算 漏 洞 处 理 策 略 之 一 。 此 外 ， 该 公 司 公 开 承 认 ， 这 种 解 决 漏 洞 安 全 的 策 略 将 来 或 许 会 影 响 云 数 据 中 心 的 安 全 也 未 可 知 。 ” 该 公 司 表 明 ， “ 在 总 共 发 现 的 2 8 个 问 题 中 ， 其 中 的 1 6 个 漏 洞 ， 可 以 利 用 其 突 破 目 标 服 务 器 中 的 J a v a 安 全 沙 箱 。 攻 击 者 进 一 步 可 利 用 此 来 访 问 J a v a 云 服 务 同 一 区 域 中 心 的 其 他 用 户 的 应 用 程 序 部 署 ， 这 也 就 进 一 步 意 味 着 可 以 访 问 用 户 应 用 程 序 ， 也 可 以 访 问 数 据 库 甚 至 在 系 统 上 执 行 任 意 的 J a v a 代 码 。 ” 该 公 司 进 一 步 推 测 ， 由 O r a c l e 的 服 务 发 现 的 薄 弱 环 节 的 性 质 表 明 ， 在 其 公 开 发 售 前 ， 可 能 并 没 有 进 行 车 彻 底 的 安 全 审 查 和 渗 透 测 试 。 关 于 该 安 全 公 司 的 研 究 方 法 的 更 多 信 息 可 以 在 这 篇 F A Q 中 找 到 。 h t t p : / / w w w . s e c u r i t y - e x p l o r a t i o n s . c o m / e n / S E - 2 0 1 3 - 0 1 - f a q . h t m l 原 文 地 址 h t t p : / / w w w . n e t - s e c u r i t y . o r g / s e c w o r l d . p h p ? i d = 1 6 6 3 1 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理