Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-284

CVE-2013-2423

Oracle Java SE JRE bileşeninde HotSpot ile ilgili bütünlük ihlali zafiyeti

Oracle Java Runtime Environment (JRE)

Düşük 3,7 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
4942 gün
Kaydı açan
oracle
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 May 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Haz 2022.

ÖzetTürkçe

Oracle Java SE 7 Update 17 ve önceki sürümlerinde ile OpenJDK 7'de bulunan Java Runtime Environment (JRE) bileşeninde, HotSpot ile ilgili bilinmeyen vektörler üzerinden uzak saldırganların bütünlüğü etkilemesine olanak tanıyan belirtilmemiş bir zafiyet bulunmaktadır. NOT: Önceki bilgiler Nisan 2013 CPU güncellemesinden alınmıştır. Oracle, orijinal araştırmacının iddialarına yanıt vermemiştir. Bu iddialara göre zafiyet, uzak saldırganların MethodHandles metodu üzerinden izin kontrollerini aşmasına ve yansıma (reflection) ile tür karışıklığı (type confusion) kullanarak rastgele genel sabit (public final) alanları değiştirmesine olanak tanımaktadır; bu durum, güvenlik yöneticisini devre dışı bırakmak için tamsayı ve ondalıklı sayı alanlarının kullanılmasıyla gösterilmiştir.

Kaynaktaki açıklama (İngilizce)

Unspecified vulnerability in the Java Runtime Environment (JRE) component in Oracle Java SE 7 Update 17 and earlier, and OpenJDK 7, allows remote attackers to affect integrity via unknown vectors related to HotSpot. NOTE: the previous information is from the April 2013 CPU. Oracle has not commented on claims from the original researcher that this vulnerability allows remote attackers to bypass permission checks by the MethodHandles method and modify arbitrary public final fields using reflection and type confusion, as demonstrated using integer and double fields to disable the security manager.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Java Runtime Environment (JRE) Sürüm belirtilmemiş –

Kaynaklar18 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.