NVD脆弱性詳細

CVE-2012-4681

概要	Multiple vulnerabilities in the Java Runtime Environment (JRE) component in Oracle Java SE 7 Update 6 and earlier allow remote attackers to execute arbitrary code via a crafted applet that bypasses SecurityManager restrictions by (1) using com.sun.beans.finder.ClassFinder.findClass and leveraging an exception with the forName method to access restricted classes from arbitrary packages such as sun.awt.SunToolkit, then (2) using "reflection with a trusted immediate caller" to leverage the getField method to access and modify private fields, as exploited in the wild in August 2012 using Gondzz.class and Gondvv.class.
概要	Oracle Java 7 Update 6, y posiblemente otras versiones, permite a atacantes remotos ejecutar código arbitrario a través de un applet manipulado, explotado como en la naturaleza, en agosto de 2012 utilizando Gondzz.class y Gondvv.class.
公表日	2012年8月28日9:55
登録日	2021年1月28日15:03
最終更新日	2026年4月22日3:38

CVSS3.1 : CRITICAL
スコア	9.8
ベクター	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	低
攻撃に必要な特権レベル(PR)	不要
利用者の関与(UI)	不要
影響の想定範囲(S)	変更なし
機密性への影響(C)	高
完全性への影響(I)	高
可用性への影響(A)	高

CVSS2.0 : HIGH
スコア	10.0
ベクター	AV:N/AC:L/Au:N/C:C/I:C/A:C
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	低
攻撃前の認証要否(Au)	不要
機密性への影響(C)	高
完全性への影響(I)	高
可用性への影響(A)	高
全ての特権を取得	いいえ
ユーザー権限を取得	いいえ
その他の権限を取得	いいえ
ユーザー操作が必要	いいえ

影響を受けるソフトウェアの構成

構成1	以上	以下	より上	未満
cpe:2.3:a:oracle:jdk:1.6.0:-::::::
cpe:2.3:a:oracle:jdk:1.6.0:update1::::::
cpe:2.3:a:oracle:jdk:1.6.0:update10::::::
cpe:2.3:a:oracle:jdk:1.6.0:update11::::::
cpe:2.3:a:oracle:jdk:1.6.0:update12::::::
cpe:2.3:a:oracle:jdk:1.6.0:update13::::::
cpe:2.3:a:oracle:jdk:1.6.0:update14::::::
cpe:2.3:a:oracle:jdk:1.6.0:update15::::::
cpe:2.3:a:oracle:jdk:1.6.0:update16::::::
cpe:2.3:a:oracle:jdk:1.6.0:update17::::::
cpe:2.3:a:oracle:jdk:1.6.0:update18::::::
cpe:2.3:a:oracle:jdk:1.6.0:update19::::::
cpe:2.3:a:oracle:jdk:1.6.0:update2::::::
cpe:2.3:a:oracle:jdk:1.6.0:update20::::::
cpe:2.3:a:oracle:jdk:1.6.0:update21::::::
cpe:2.3:a:oracle:jdk:1.6.0:update22::::::
cpe:2.3:a:oracle:jdk:1.6.0:update23::::::
cpe:2.3:a:oracle:jdk:1.6.0:update24::::::
cpe:2.3:a:oracle:jdk:1.6.0:update25::::::
cpe:2.3:a:oracle:jdk:1.6.0:update26::::::
cpe:2.3:a:oracle:jdk:1.6.0:update27::::::
cpe:2.3:a:oracle:jdk:1.6.0:update29::::::
cpe:2.3:a:oracle:jdk:1.6.0:update3::::::
cpe:2.3:a:oracle:jdk:1.6.0:update30::::::
cpe:2.3:a:oracle:jdk:1.6.0:update31::::::
cpe:2.3:a:oracle:jdk:1.6.0:update32::::::
cpe:2.3:a:oracle:jdk:1.6.0:update33::::::
cpe:2.3:a:oracle:jdk:1.6.0:update34::::::
cpe:2.3:a:oracle:jdk:1.6.0:update4::::::
cpe:2.3:a:oracle:jdk:1.6.0:update5::::::
cpe:2.3:a:oracle:jdk:1.6.0:update6::::::
cpe:2.3:a:oracle:jdk:1.6.0:update7::::::
cpe:2.3:a:oracle:jdk:1.6.0:update8::::::
cpe:2.3:a:oracle:jdk:1.6.0:update9::::::
cpe:2.3:a:oracle:jdk:1.7.0:-::::::
cpe:2.3:a:oracle:jdk:1.7.0:update1::::::
cpe:2.3:a:oracle:jdk:1.7.0:update2::::::
cpe:2.3:a:oracle:jdk:1.7.0:update3::::::
cpe:2.3:a:oracle:jdk:1.7.0:update4::::::
cpe:2.3:a:oracle:jdk:1.7.0:update5::::::
cpe:2.3:a:oracle:jdk:1.7.0:update6::::::
cpe:2.3:a:oracle:jre:1.6.0:-::::::
cpe:2.3:a:oracle:jre:1.6.0:update1::::::
cpe:2.3:a:oracle:jre:1.6.0:update10::::::
cpe:2.3:a:oracle:jre:1.6.0:update11::::::
cpe:2.3:a:oracle:jre:1.6.0:update12::::::
cpe:2.3:a:oracle:jre:1.6.0:update13::::::
cpe:2.3:a:oracle:jre:1.6.0:update14::::::
cpe:2.3:a:oracle:jre:1.6.0:update15::::::
cpe:2.3:a:oracle:jre:1.6.0:update16::::::
cpe:2.3:a:oracle:jre:1.6.0:update17::::::
cpe:2.3:a:oracle:jre:1.6.0:update18::::::
cpe:2.3:a:oracle:jre:1.6.0:update19::::::
cpe:2.3:a:oracle:jre:1.6.0:update2::::::
cpe:2.3:a:oracle:jre:1.6.0:update20::::::
cpe:2.3:a:oracle:jre:1.6.0:update21::::::
cpe:2.3:a:oracle:jre:1.6.0:update22::::::
cpe:2.3:a:oracle:jre:1.6.0:update23::::::
cpe:2.3:a:oracle:jre:1.6.0:update24::::::
cpe:2.3:a:oracle:jre:1.6.0:update25::::::
cpe:2.3:a:oracle:jre:1.6.0:update26::::::
cpe:2.3:a:oracle:jre:1.6.0:update27::::::
cpe:2.3:a:oracle:jre:1.6.0:update29::::::
cpe:2.3:a:oracle:jre:1.6.0:update3::::::
cpe:2.3:a:oracle:jre:1.6.0:update30::::::
cpe:2.3:a:oracle:jre:1.6.0:update31::::::
cpe:2.3:a:oracle:jre:1.6.0:update32::::::
cpe:2.3:a:oracle:jre:1.6.0:update33::::::
cpe:2.3:a:oracle:jre:1.6.0:update34::::::
cpe:2.3:a:oracle:jre:1.6.0:update4::::::
cpe:2.3:a:oracle:jre:1.6.0:update5::::::
cpe:2.3:a:oracle:jre:1.6.0:update6::::::
cpe:2.3:a:oracle:jre:1.6.0:update7::::::
cpe:2.3:a:oracle:jre:1.6.0:update9::::::
cpe:2.3:a:oracle:jre:1.7.0:-::::::
cpe:2.3:a:oracle:jre:1.7.0:update1::::::
cpe:2.3:a:oracle:jre:1.7.0:update2::::::
cpe:2.3:a:oracle:jre:1.7.0:update3::::::
cpe:2.3:a:oracle:jre:1.7.0:update4::::::
cpe:2.3:a:oracle:jre:1.7.0:update5::::::
cpe:2.3:a:oracle:jre:1.7.0:update6::::::
cpe:2.3:o:redhat:enterprise_linux_desktop:6.0:::::::*
cpe:2.3:o:redhat:enterprise_linux_eus:6.3:::::::*
cpe:2.3:o:redhat:enterprise_linux_server:6.0:::::::*
cpe:2.3:o:redhat:enterprise_linux_workstation:6.0:::::::*

関連情報、対策とツール

No	URL	refsource
1	http://blog.fireeye.com/research/2012/08/zero-day-season-is-not-over-yet.html	cve@mitre.org
2	http://immunityproducts.blogspot.com/2012/08/java-0day-analysis-cve-2012-4681.html	cve@mitre.org
3	http://labs.alienvault.com/labs/index.php/2012/new-java-0day-exploited-in-the-wild/	cve@mitre.org
4	http://lists.opensuse.org/opensuse-security-announce/2012-09/msg00032.html	cve@mitre.org
5	http://lists.opensuse.org/opensuse-security-announce/2012-10/msg00016.html	cve@mitre.org
6	http://marc.info/?l=bugtraq&m=135109152819176&w=2	cve@mitre.org
7	http://rhn.redhat.com/errata/RHSA-2012-1225.html	cve@mitre.org
8	http://secunia.com/advisories/51044	cve@mitre.org
9	http://www.deependresearch.org/2012/08/java-7-vulnerability-analysis.html	cve@mitre.org
10	http://www.oracle.com/technetwork/topics/security/alert-cve-2012-4681-1835715.html	cve@mitre.org
11	http://www.securityfocus.com/bid/55213	cve@mitre.org
12	http://www.us-cert.gov/cas/techalerts/TA12-240A.html	cve@mitre.org
13	https://community.rapid7.com/community/metasploit/blog/2012/08/27/lets-start-the-week-with-a-new-java-0day	cve@mitre.org
14	http://blog.fireeye.com/research/2012/08/zero-day-season-is-not-over-yet.html	af854a3a-2127-422b-91ae-364da2661108
15	http://immunityproducts.blogspot.com/2012/08/java-0day-analysis-cve-2012-4681.html	af854a3a-2127-422b-91ae-364da2661108
16	http://labs.alienvault.com/labs/index.php/2012/new-java-0day-exploited-in-the-wild/	af854a3a-2127-422b-91ae-364da2661108
17	http://lists.opensuse.org/opensuse-security-announce/2012-09/msg00032.html	af854a3a-2127-422b-91ae-364da2661108
18	http://lists.opensuse.org/opensuse-security-announce/2012-10/msg00016.html	af854a3a-2127-422b-91ae-364da2661108
19	http://marc.info/?l=bugtraq&m=135109152819176&w=2	af854a3a-2127-422b-91ae-364da2661108
20	http://rhn.redhat.com/errata/RHSA-2012-1225.html	af854a3a-2127-422b-91ae-364da2661108
21	http://secunia.com/advisories/51044	af854a3a-2127-422b-91ae-364da2661108
22	http://www.deependresearch.org/2012/08/java-7-vulnerability-analysis.html	af854a3a-2127-422b-91ae-364da2661108
23	http://www.oracle.com/technetwork/topics/security/alert-cve-2012-4681-1835715.html	af854a3a-2127-422b-91ae-364da2661108
24	http://www.securityfocus.com/bid/55213	af854a3a-2127-422b-91ae-364da2661108
25	http://www.us-cert.gov/cas/techalerts/TA12-240A.html	af854a3a-2127-422b-91ae-364da2661108
26	https://community.rapid7.com/community/metasploit/blog/2012/08/27/lets-start-the-week-with-a-new-java-0day	af854a3a-2127-422b-91ae-364da2661108
27	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2012-4681	134c704f-9b21-4f2e-91b3-4a467353bcc0

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-284	不適切なアクセス制御	https://cwe.mitre.org/data/definitions/284.html

JVN脆弱性情報

Oracle Java 7 に脆弱性

タイトル	Oracle Java 7 に脆弱性
概要	Oracle が提供する Java 7 には、任意の OS コマンドが実行可能な脆弱性が存在します。 Oracle が提供する Java 7 には、Java のサンドボックスを回避され、任意の OS コマンドが実行可能な脆弱性が存在します。なお、本脆弱性を使用した攻撃コードが公開されており、攻撃も観測されています。
想定される影響	細工された Java アプレットが埋め込まれたウェブページを開くことで、任意の OS コマンドが実行される可能性があります。
対策	[アップデートする] 開発者が提供する情報をもとに、最新版へアップデートしてください。 [ワークアラウンドを実施する] 以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。　* ウェブブラウザの Java プラグインを無効にする
公表日	2012年8月28日0:00
登録日	2012年8月29日15:47
最終更新日	2013年2月4日17:51

影響を受けるシステム

サン・マイクロシステムズ

JDK 6 Update 21 およびそれ以前

JRE 6 Update 21 およびそれ以前

オラクル

JDK 6 Update 34 およびそれ以前

JDK 7 Update 6 およびそれ以前

JRE 6 Update 34 およびそれ以前

JRE 7 Update 6 およびそれ以前

日本電気

SecureWare/電子署名開発キット V1.3

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2012-4681	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-4681
National Vulnerability Database (NVD)
2	CVE-2012-4681	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-4681

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-noinfo	https://www.ipa.go.jp/security/vuln/CWE.html#CWEnoinfo

ベンダー情報

No	名前	URL
NEC製品セキュリティ情報
1	NV13-001	http://jpn.nec.com/security-info/secinfo/nv13-001.html
opensuse-security-announce
2	SUSE-SU-2012:1231	http://lists.opensuse.org/opensuse-security-announce/2012-09/msg00032.html
3	SUSE-SU-2012:1398	http://lists.opensuse.org/opensuse-security-announce/2012-10/msg00016.html
Oracle
4	Java SE Downloads	http://www.oracle.com/technetwork/java/javase/downloads/index.html
5	The Security Manager	http://docs.oracle.com/javase/tutorial/essential/environment/security.html
Oracle Security Alert
6	Oracle Security Alert for CVE-2012-4681	http://www.oracle.com/technetwork/topics/security/alert-cve-2012-4681-1835715.html
Red Hat Security Advisory
7	RHSA-2012:1225	http://rhn.redhat.com/errata/RHSA-2012-1225.html
富士通セキュリティ情報
8	TA12-240A	http://software.fujitsu.com/jp/security/vulnerabilities/ta12-240a.html

その他

No	名前	URL
IPA 緊急対策情報
1	Java の脆弱性の修正について(CVE-2012-4681)	http://www.ipa.go.jp/security/ciadr/vul/20120831-oracle.html
JPCERT 緊急報告
2	JPCERT-AT-2012-0028	http://www.jpcert.or.jp/at/2012/at120028.html
JVN
3	JVNTA12-240A	http://jvn.jp/cert/JVNTA12-240A/
US-CERT Technical Cyber Security Alert
4	TA12-240A	http://www.us-cert.gov/cas/techalerts/TA12-240A.html
US-CERT Vulnerability Note
5	VU#636312	http://www.kb.cert.org/vuls/id/636312

変更履歴

No	変更内容	変更日
0	[2012年08月29日] 掲載 [2012年08月31日] 影響を受けるシステム：オラクル (Oracle Security Alert for CVE-2012-4681) の情報を更新対策：内容を更新ベンダ情報：オラクル (Oracle Security Alert for CVE-2012-4681) を追加ベンダ情報：オラクル (Java SE Downloads) を追加 [2012年09月03日] 影響を受けるシステム：バージョンを訂正 [2012年09月14日] ベンダ情報：富士通 (TA12-240A) を追加 [2012年10月23日] ベンダ情報：openSUSE (SUSE-SU-2012:1231) を追加 [2012年11月29日] ベンダ情報：レッドハット (RHSA-2012:1225) を追加] [2013年01月17日] ベンダ情報：openSUSE (SUSE-SU-2012:1398) を追加 [2013年01月23日] 影響を受けるシステム：オラクルの情報を追加影響を受けるシステム：サン・マイクロシステムズの情報を更新 [2013年02月04日] 影響を受けるシステム：日本電気 (NV13-001) の情報を追加ベンダ情報：日本電気 (NV13-001) の情報を追加	2018年2月17日10:37

構成1	以上	以下	より上	未満
cpe:2.3:a:oracle:jdk:1.6.0:-::::::
cpe:2.3:a:oracle:jdk:1.6.0:update1::::::
cpe:2.3:a:oracle:jdk:1.6.0:update10::::::
cpe:2.3:a:oracle:jdk:1.6.0:update11::::::
cpe:2.3:a:oracle:jdk:1.6.0:update12::::::
cpe:2.3:a:oracle:jdk:1.6.0:update13::::::
cpe:2.3:a:oracle:jdk:1.6.0:update14::::::
cpe:2.3:a:oracle:jdk:1.6.0:update15::::::
cpe:2.3:a:oracle:jdk:1.6.0:update16::::::
cpe:2.3:a:oracle:jdk:1.6.0:update17::::::
cpe:2.3:a:oracle:jdk:1.6.0:update18::::::
cpe:2.3:a:oracle:jdk:1.6.0:update19::::::
cpe:2.3:a:oracle:jdk:1.6.0:update2::::::
cpe:2.3:a:oracle:jdk:1.6.0:update20::::::
cpe:2.3:a:oracle:jdk:1.6.0:update21::::::
cpe:2.3:a:oracle:jdk:1.6.0:update22::::::
cpe:2.3:a:oracle:jdk:1.6.0:update23::::::
cpe:2.3:a:oracle:jdk:1.6.0:update24::::::
cpe:2.3:a:oracle:jdk:1.6.0:update25::::::
cpe:2.3:a:oracle:jdk:1.6.0:update26::::::
cpe:2.3:a:oracle:jdk:1.6.0:update27::::::
cpe:2.3:a:oracle:jdk:1.6.0:update29::::::
cpe:2.3:a:oracle:jdk:1.6.0:update3::::::
cpe:2.3:a:oracle:jdk:1.6.0:update30::::::
cpe:2.3:a:oracle:jdk:1.6.0:update31::::::
cpe:2.3:a:oracle:jdk:1.6.0:update32::::::
cpe:2.3:a:oracle:jdk:1.6.0:update33::::::
cpe:2.3:a:oracle:jdk:1.6.0:update34::::::
cpe:2.3:a:oracle:jdk:1.6.0:update4::::::
cpe:2.3:a:oracle:jdk:1.6.0:update5::::::
cpe:2.3:a:oracle:jdk:1.6.0:update6::::::
cpe:2.3:a:oracle:jdk:1.6.0:update7::::::
cpe:2.3:a:oracle:jdk:1.6.0:update8::::::
cpe:2.3:a:oracle:jdk:1.6.0:update9::::::
cpe:2.3:a:oracle:jdk:1.7.0:-::::::
cpe:2.3:a:oracle:jdk:1.7.0:update1::::::
cpe:2.3:a:oracle:jdk:1.7.0:update2::::::
cpe:2.3:a:oracle:jdk:1.7.0:update3::::::
cpe:2.3:a:oracle:jdk:1.7.0:update4::::::
cpe:2.3:a:oracle:jdk:1.7.0:update5::::::
cpe:2.3:a:oracle:jdk:1.7.0:update6::::::
cpe:2.3:a:oracle:jre:1.6.0:-::::::
cpe:2.3:a:oracle:jre:1.6.0:update1::::::
cpe:2.3:a:oracle:jre:1.6.0:update10::::::
cpe:2.3:a:oracle:jre:1.6.0:update11::::::
cpe:2.3:a:oracle:jre:1.6.0:update12::::::
cpe:2.3:a:oracle:jre:1.6.0:update13::::::
cpe:2.3:a:oracle:jre:1.6.0:update14::::::
cpe:2.3:a:oracle:jre:1.6.0:update15::::::
cpe:2.3:a:oracle:jre:1.6.0:update16::::::
cpe:2.3:a:oracle:jre:1.6.0:update17::::::
cpe:2.3:a:oracle:jre:1.6.0:update18::::::
cpe:2.3:a:oracle:jre:1.6.0:update19::::::
cpe:2.3:a:oracle:jre:1.6.0:update2::::::
cpe:2.3:a:oracle:jre:1.6.0:update20::::::
cpe:2.3:a:oracle:jre:1.6.0:update21::::::
cpe:2.3:a:oracle:jre:1.6.0:update22::::::
cpe:2.3:a:oracle:jre:1.6.0:update23::::::
cpe:2.3:a:oracle:jre:1.6.0:update24::::::
cpe:2.3:a:oracle:jre:1.6.0:update25::::::
cpe:2.3:a:oracle:jre:1.6.0:update26::::::
cpe:2.3:a:oracle:jre:1.6.0:update27::::::
cpe:2.3:a:oracle:jre:1.6.0:update29::::::
cpe:2.3:a:oracle:jre:1.6.0:update3::::::
cpe:2.3:a:oracle:jre:1.6.0:update30::::::
cpe:2.3:a:oracle:jre:1.6.0:update31::::::
cpe:2.3:a:oracle:jre:1.6.0:update32::::::
cpe:2.3:a:oracle:jre:1.6.0:update33::::::
cpe:2.3:a:oracle:jre:1.6.0:update34::::::
cpe:2.3:a:oracle:jre:1.6.0:update4::::::
cpe:2.3:a:oracle:jre:1.6.0:update5::::::
cpe:2.3:a:oracle:jre:1.6.0:update6::::::
cpe:2.3:a:oracle:jre:1.6.0:update7::::::
cpe:2.3:a:oracle:jre:1.6.0:update9::::::
cpe:2.3:a:oracle:jre:1.7.0:-::::::
cpe:2.3:a:oracle:jre:1.7.0:update1::::::
cpe:2.3:a:oracle:jre:1.7.0:update2::::::
cpe:2.3:a:oracle:jre:1.7.0:update3::::::
cpe:2.3:a:oracle:jre:1.7.0:update4::::::
cpe:2.3:a:oracle:jre:1.7.0:update5::::::
cpe:2.3:a:oracle:jre:1.7.0:update6::::::
cpe:2.3:o:redhat:enterprise_linux_desktop:6.0:::::::*
cpe:2.3:o:redhat:enterprise_linux_eus:6.3:::::::*
cpe:2.3:o:redhat:enterprise_linux_server:6.0:::::::*
cpe:2.3:o:redhat:enterprise_linux_workstation:6.0:::::::*