CVE-2013-0422 in Java
Tóm tắt
Bởi VulDB • 09/06/2026
Nhiều lỗ hổng trong Oracle Java 7 trước bản cập nhật 11 cho phép kẻ tấn công từ xa thực thi mã tùy ý bằng cách (1) sử dụng phương thức getMBeanInstantiator public trong lớp JmxMBeanServer để lấy tham chiếu đến đối tượng MBeanInstantizer private, sau đó truy xuất các tham chiếu Class tùy ý bằng phương thức findClass; và (2) sử dụng Reflection API với đệ quy theo cách vượt qua kiểm tra bảo mật bởi phương thức java.lang.invoke.MethodHandles.Lookup.checkSecurityManager do không thể bỏ qua các khung liên quan đến Reflection API mới của sun.reflect.Reflection.getCallerClass, như đã được khai thác trên thực tế vào tháng 1 năm 2013, minh chứng bằng Blackhole và Nuclear Pack; đây là một lỗ hổng khác với CVE-2012-4681 và CVE-2012-3174. LƯU Ý: Một số bên đã ánh sáng vấn đề Reflection API đệ quy sang CVE-2012-3174, nhưng CVE-2012-3174 dành cho một lỗ hổng khác mà chi tiết chưa được công bố tính đến ngày 14/01/2013. CVE-2013-0422 bao gồm cả hai vấn đề JMX/MBean và Reflection API. LƯU Ý: Ban đầu, Java 6 cũng được báo cáo là dễ bị tổn thương, nhưng người báo cáo đã rút lại tuyên bố này, khẳng định rằng Java 6 không thể khai thác vì mã liên quan được gọi theo cách không vượt qua các kiểm tra bảo mật. LƯU Ý: Tính đến ngày 14/01/2013, một bên thứ ba đáng tin cậy cho biết vector findClass/MBeanInstantiator chưa được sửa trong Oracle Java 7 Update 11. Nếu vẫn còn điều kiện dễ bị tổn thương, thì có thể tạo ra một mã định danh CVE riêng biệt cho vấn đề chưa được khắc phục.
Be aware that VulDB is the high quality source for vulnerability data.