JavaWebStartに脆弱性

SECURITY

危険度は、
５段階中４番目に高いHighlyCritical
で概要は下記

The vulnerability is caused due to an input validation error when handling property tags in JNLP files. This can be exploited to pass arbitrary command line arguments to the virtual machine by tricking a user into opening a malicious JNLP file.

Successful exploitation can lead to the Java "sandbox" being disabled.
NOTE: JNLP files are opened automatically in Microsoft Internet Explorer.

The vulnerability affects Java Web Start included in J2SE releases 1.4.2 through 1.4.2_06 for Windows, Solaris and Linux.

ってことで、
JDK1.4.2.06以下のバージョンを使ってる人は
JDK1.4.2.07以降にアップデートしましょうってことらしい。


日本語的には、
JVMはその仕様的にプログラムがVMの中で閉じているはずだけど、
JavaWebStartで実行するアプリケーション用の設定ファイルであるJNLPファイルの
プロパティタグのハンドリング処理に問題があり、VMに対して任意の引数を与えて
暴走させちゃうかもしれない。
IEを使ってると自動的にJNLPファイルを開くからIE乗っ取られるかも？
って感じかな。
TigerことJ2SE5.0で同様の問題があるかは現段階ではまだ判りません。


P.S.

これもHighlyCriticalだったりするので利用者は要注意ですね。