Очередная 0-day уязвимость в Java dl // 02.03.13 19:17
Java продолжает подтверждать свою репутацию - на этот раз в FireEye обнаружили уязвимость, работающую в последних на текущий момент версиях Java v1.6 Update 41 и Java v1.7 Update 15. [Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2013/03/01.html] Утешает лишь не очень надежный механизм ее использования. В отличие от простого запрета менеджера безопасности, характерного для других уязвимостей, тут атакующий получает возможность чтения/записи в произвольную область памяти процесса виртуальной машины. Дальше он должен добраться до блока памяти, отвечающего за состояние менеджера безопасности, но при попытке перезаписи больших областей памяти вся JVM иногда просто успевает упасть раньше.
Рекомендации традиционные - "если рассудок и жизнь дороги вам, держитесь подальше от торфяных болот".