发布日期：2012-09-25
更新日期：2012-09-26

受影响系统：

Oracle Java SE 7
Oracle Java SE 6
Oracle Java SE 5
Oracle Java SE

描述：

---

BUGTRAQ  ID: 55669

Sun Java Runtime Environment是一款为JAVA应用程序提供可靠的运行环境的解决方案。

Oracle Java SE在JVM的安全机制实现上存在严重安全漏洞，攻击者可利用此漏洞绕过Java沙盒安全限制执行任意指令，远程攻击者可能通过浏览器利用此漏洞控制用户系统。

<*来源：Security Explorations
  
  链接：http://seclists.org/fulldisclosure/2012/Sep/170
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 浏览器中禁用Java

参考：http://krebsonsecurity.com/how-to-unplug-java-from-the-browser/

对于Windows用户:

1) Firefox

工具->附加组件(Ctrl-Shift-A)->插件，将所有带有Java字样的禁用，重启Firefox。

安装NoScript扩展，NoScript选项->嵌入的对象->禁止Java

2) Chrome

点击右上角的扳手->设置->点击最下面的"显示高级设置"->隐私设置->内容设置->插件->停用单个插件->Java->停用

3) IE

控制面板->Java->Java->查看->用户->禁用所有版本的JRE(Java运行时环境)

控制面板->Java->Java->查看->系统->禁用所有版本的JRE(Java运行时环境)

但是这一只适用于XP、2003，不适用于Vista、Win7等高版本的Windows，你根本无法清空相应的启用复选框。此时需要修改注册表。

对于系统是64-bits Win7，用了32-bits JRE的话，原来的注册表设置:

--------------------------------------------------------------------------
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft\Java Plug-in]

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft\Java Plug-in\10.5.1]
"UseJava2IExplorer"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft\Java Plug-in\10.7.2]
"UseJava2IExplorer"=dword:00000001
--------------------------------------------------------------------------

所有版本的Java都有一个UseJava2IExplorer，其值缺省为1，修改成0即可禁用Java。

对于32-bits Win7，这个注册表键值位于:

--------------------------------------------------------------------------
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Plug-in]

[HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Plug-in\<version>]
"UseJava2IExplorer"=dword:00000000
--------------------------------------------------------------------------

javacpl.exe->高级->浏览器的默认Java->清空"Microsoft Internet Explorer"，这个操作实际就是设置UseJava2IExplorer为0。进行这个操作时，"Microsoft Internet Explorer"可能是灰的，但可以选中。

javacpl.exe->高级->浏览器的默认Java->清空"Mozilla系列"，这样更安全。

厂商补丁：

Oracle
------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.oracle.com/technetwork/topics/security/

浏览次数：3077
严重程度：0（网友投票）