CERT Advisory CA-2007-05 (Technical Cyber Security Alert TA07-022A)
Sun Updates for Multiple Vulnerabilities in Java
ต้นฉบับ: http://www.us-cert.gov/cas/techalerts/TA07-022A.html
เรียบเรียงโดย: ไตรรัตน์ พุทธรักษา

ระบบที่ได้รับผลกระทบ

Sun Java Runtime Environment เวอร์ชันดังต่อไปนี้

• JDK และ JRE 5.0 Update 9 และเวอร์ชันก่อนหน้า
• SDK และ JRE 1.4.2_12 และเวอร์ชันก่อนหน้า
• SDK และ JRE 1.3.1_18 และเวอร์ชันก่อนหน้า
  

กล่าวโดยทั่วไป

มีการค้นพบช่องโหว่ของ Sun Java Runtime Environment เป็นจำนวนมาก ซึ่งเปิดโอกาสให้ผู้บุกรุกที่ไม่จำเป็นต้องทำการพิสูจน์ตัวตนสามารถสั่งรันคำสั่งของระบบจากระยะไกลได้

I. คำอธิบาย

Sun Java Runtime Environment (JRE) เป็นซอฟต์แวร์ที่ช่วยให้ผู้ใช้สามารถทำการรันแอพพลิเคชันที่เขียนด้วย Java บนเว็บบราวเซอร์หรือรันแบบโปรแกรมทั่วไป โดยทางบริษัท Sun ได้ทำการออกโปรแกรมซ่อมแซมช่องโหว่จำนวนหลายช่องโหว่สำหรับ Java Runtime Environment สำหรับรายละเอียดเพิ่มเติมของช่องโหว่ต่างๆ สามารถอ่านได้จากเอกสาร Vulnerability Notes

หมายเหตุ: โปรแกรมที่ใช้สำหรับโจมตีช่องโหว่เหล่านี้ได้ถูกเผยแพร่ออกมาแล้ว

II. ผลกระทบ

หากผู้ใช้ทำการรันแอพพลิเคชัน Java ที่ถูกสร้างขึ้นเพื่อใช้ในการโจมตี จะทำให้ผู้บุกรุกที่ไม่จำเป็นต้องทำการพิสูจน์ตัวตนสามารถสั่งรันคำสั่งของระบบจากระยะไกลได้ โดยทั่วไปแล้วการโจมตีช่องโหว่นี้มักใช้เว็บที่มีการใช้งาน Java applet เป็นเครื่องมือ

III วิธีแก้ไข

ติดตั้งโปรแกรมซ่อมแซมช่องโหว่จาก Sun

ปัญหาช่องโหว่เหล่านี้ได้ถูกแก้ไขใน Sun Java Runtime Environment เวอร์ชันดังต่อไปนี้

• JDK และ JRE 5.0 Update 10 หรือเวอร์ชันใหม่กว่า
• SDK และ JRE 1.4.2_13 หรือเวอร์ชันใหม่กว่า
• SDK และ JRE 1.3.1_19 หรือเวอร์ชันใหม่กว่า
  

อย่างไรก็ตาม ถึงแม้ว่าผู้ใช้จะทำการติดตั้ง Java เวอร์ชันล่าสุดลงไปในระบบแล้ว Java เวอร์ชันเก่าอาจยังอยู่ในระบบ ซึ่งถ้าไม่มีความจำเป็นต้องใช้งาน Java เวอร์ชันเก่าแล้ว ควรทำการลบออกจากระบบ สำหรับขั้นตอนการลบ Java เวอร์ชันเก่าออกจากระบบสามารถศึกษาเพิ่มเติมได้จากเอกสารของ Sun

ปิดการใช้งาน Java

ทำการปิดการใช้งาน Java บนเว็บบราวเซอร์ โดยขั้นตอนเหล่านี้ถูกกล่าวไว้ในเอกสาร Securing Your Web Browser ถึงแม้ว่าการปิดการใช้งาน Java นั้นไม่ได้เป็นการแก้ไขช่องโหว่ที่มีอยู่ แต่จะช่วยป้องกันการโจมตีต่างๆ ที่จะอาศัยช่องโหว่เหล่านี้

Appendix A. References

• US-CERT Vulnerability Note VU#388289 - <http://www.kb.cert.org/vuls/id/388289>
• US-CERT Vulnerability Note VU#102289 - <http://www.kb.cert.org/vuls/id/102289>
• US-CERT Vulnerability Note VU#149457 - <http://www.kb.cert.org/vuls/id/149457>
• US-CERT Vulnerability Note VU#939609 - <http://www.kb.cert.org/vuls/id/939609>
• Securing Your Web Browser - <http://www.us-cert.gov/reading_room/securing_browser/>
• CVE-2007-0243 - <http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0243>
• CVE-2006-6745 - <http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-6745>
• CVE-2006-6731 - <http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-6731>
• Java SE Technologies at a Glance - <http://java.sun.com/javase/technologies/>
• Java SE Security - <http://java.sun.com/javase/technologies/security/index.jsp>
• Can I remove older versions of the JRE after installing a newer version? - <http://www.java.com/en/download/faq/5000070400.xml>

หากท่านพบเห็นข้อผิดพลาดหรือมีคำแนะนำ โปรดส่งข้อความของท่านมาที่ thaicert@nectec.or.th ท่านสามารถดาวน์โหลด PGP Public Key ของ ThaiCERT ได้ ในกรณีที่ต้องการเข้ารหัสอี-เมล์