Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-843

CVE-2012-0507

Oracle Java SE JRE'de Concurrency bileşeninde sandbox atlatma ve kod çalıştırma açığı

Oracle Java SE

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
14 Ağu 2026
Açık yaşı
5255 gün
Kaydı açan
oracle
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Mar 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 24 Mar 2022. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Eski Java sürümleri kullanan sistemler internet üzerinden ele geçirilebilir ve bu açığın gerçek saldırılarda kullanıldığı bilinmektedir. Risk kritik düzeydedir; Java'nın güncellenmesi veya eski sürümlerin kaldırılması gecikmeden planlanmalıdır.

ÖzetTürkçe

Oracle Java SE'nin Java Runtime Environment (JRE) bileşenindeki Concurrency ile ilgili bir açık, uzaktan saldırganların gizlilik, bütünlük ve erişilebilirliği etkilemesine olanak tanır. Oracle ayrıntı vermemiştir; üçüncü taraf araştırmacılar ve bir downstream sağlayıcı, sorunun AtomicReferenceArray sınıfının dizinin Object[] türünde olduğunu doğrulamamasından kaynaklandığını öne sürmektedir. Etkilenen sürümler Java SE 7 Update 2 ve öncesi, 6 Update 30 ve öncesi ile 5.0 Update 33 ve öncesidir. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesindedir.

Saldırgan ne yapabilir?

Saldırgan Java sandbox kısıtlamalarını aşabilir, JVM'i çökertip hizmet reddi oluşturabilir ve etkilenen sistemde yüksek yetkiyle gizlilik, bütünlük ve erişilebilirlik kaybına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Unspecified vulnerability in the Java Runtime Environment (JRE) component in Oracle Java SE 7 Update 2 and earlier, 6 Update 30 and earlier, and 5.0 Update 33 and earlier allows remote attackers to affect confidentiality, integrity, and availability via unknown vectors related to Concurrency. NOTE: the previous information was obtained from the February 2012 Oracle CPU. Oracle has not commented on claims from a downstream vendor and third party researchers that this issue occurs because the AtomicReferenceArray class implementation does not ensure that the array is of the Object[] type, which allows attackers to cause a denial of service (JVM crash) or bypass Java sandbox restrictions. NOTE: this issue was originally mapped to CVE-2011-3571, but that identifier was already assigned to a different issue.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Oracle'ın bu açığı gideren güncellemesini (Şubat 2012 Critical Patch Update ve sonrası) uygulayın; Java SE 7 Update 2, 6 Update 30 ve 5.0 Update 33 ile bunların öncesi sürümlerden daha yeni bir sürüme geçin. Genel öneri
  2. CISA gereği: güncellemeleri satıcı talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa, tarayıcılarda Java eklentisini devre dışı bırakın ve güvenilmeyen Java uygulamalarının/applet'lerinin çalışmasını engelleyin. Genel öneri

Ek önlemler

  • Ortamdaki tüm Java kurulumlarını envanterleyin ve kullanılmayan ya da desteği bitmiş sürümleri kaldırın. Genel öneri
  • Java'yı yalnızca gerçekten ihtiyaç duyulan sistemlerde tutun ve tarayıcı üzerinden Java çalıştırmayı kısıtlayın. Genel öneri
  • JVM çökmeleri ve beklenmeyen Java süreç davranışları için günlükleri izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Java SE Sürüm belirtilmemiş –

Kaynaklar24 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.