Oracle · Java SE
CVE-2012-0507
Oracle Java SE Runtime Environment (JRE) Arbitrary Code Execution Vulnerability
چیست
Unspecified vulnerability in the Java Runtime Environment (JRE) component in Oracle Java SE 7 Update 2 and earlier, 6 Update 30 and earlier, and 5.0 Update 33 and earlier allows remote attackers to affect confidentiality, integrity, and availability via unknown vectors related to Concurrency. NOTE: the previous information was obtained from the February 2012 Oracle CPU. Oracle has not commented on claims from a downstream vendor and third party researchers that this issue occurs because the AtomicReferenceArray class implementation does not ensure that the array is of the Object[] type, which allows attackers to cause a denial of service (JVM crash) or bypass Java sandbox restrictions. NOTE: this issue was originally mapped to CVE-2011-3571, but that identifier was already assigned to a different issue.
CISA: An incorrect type vulnerability exists in the Concurrency component of Oracle's Java Runtime Environment allows an attacker to remotely execute arbitrary code.
چه باید کرد
Apply updates per vendor instructions.
مهلت برای نهادهای فدرال آمریکا: ۲۴ مارس ۲۰۲۲
- افزوده‌شده به فهرست CISA
- ۳ مارس ۲۰۲۲
- منتشرشده
- ۷ ژوئن ۲۰۱۲
- شدت
- بحرانی ۹٫۸ CVSS 3.1
- احتمال حمله در ۳۰ روز آینده (EPSS)
- ۹۸% در ۰٫۱% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
- جزئیات بیشتر
- NVD · CVE.org · CISA
همهٔ منابع (20)
- http://marc.info/?l=bugtraq&m=133847939902305&w=2
- http://marc.info/?l=bugtraq&m=134254866602253&w=2
- http://marc.info/?l=bugtraq&m=133365109612558&w=2
- http://lists.opensuse.org/opensuse-security-announce/2012-05/msg00009.html
- http://rhn.redhat.com/errata/RHSA-2013-1455.html
- http://lists.opensuse.org/opensuse-security-announce/2012-05/msg00010.html
- http://marc.info/?l=bugtraq&m=133847939902305&w=2
- http://marc.info/?l=bugtraq&m=133364885411663&w=2
- http://www.debian.org/security/2012/dsa-2420
- http://rhn.redhat.com/errata/RHSA-2012-0508.html
- http://www.oracle.com/technetwork/topics/security/javacpufeb2012-366318.html
- http://secunia.com/advisories/48692
- http://krebsonsecurity.com/2012/03/new-java-attack-rolled-into-exploit-packs/
- http://secunia.com/advisories/48589
- http://weblog.ikvm.net/PermaLink.aspx?guid=cd48169a-9405-4f63-9087-798c4a1866d3
- http://secunia.com/advisories/48950
- http://secunia.com/advisories/48948
- http://blogs.technet.com/b/mmpc/archive/2012/03/20/an-interesting-case-of-jre-sandbox-breach-cve-2012-0507.as…
- http://secunia.com/advisories/48915
- https://bugzilla.redhat.com/show_bug.cgi?id=788994
آسیب‌پذیری‌های دیگر Oracle که مورد سوءاستفاده‌اند
| افزوده‌شده | آسیب‌پذیری | محصول | شدت | احتمال حمله |
|---|---|---|---|---|
| ۲۸ مارس ۲۰۲۲ | Sandbox Bypass | Java SE | بحرانی ۹٫۸ | ۹۱% |
| ۲۸ مارس ۲۰۲۲ | Unspecified | Java SE | بحرانی ۹٫۸ | ۹۹% |
| ۳ مارس ۲۰۲۲ | Runtime Environment (JRE) Arbitrary Code Execution | Java SE | بحرانی ۹٫۸ | ۹۴% |
| ۳ مارس ۲۰۲۲ | Runtime Environment (JRE) Arbitrary Code Execution | Java SE | بحرانی ۹٫۸ | ۹۹% |
| ۳ مارس ۲۰۲۲ | and Java SE Embedded Remote Code Execution | Java SE | بحرانی ۹٫۸ | ۲۵% |
| ۳ مارس ۲۰۲۲ | Integrity Check | Java SE | متوسط ۵٫۳ | ۱۴% |
| ۲۴ اوت ۲۰۲۶ | Improper Access Control | HTTP Server and Oracle Weblogic Server Proxy Plug-in | بحرانی ۱۰٫۰ | ۷۳% |
| ۱۵ ژوئیه ۲۰۲۶ | Improper Privilege Management | E-Business Suite | بحرانی ۹٫۸ | ۱۲% |
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.