【影響を受けるとされているシステム】

• Oracle Java JDK and JRE 7 Update 6以前

　(2012年8月29日時点)

【対策案】

2012年8月29日時点において、Oracle社から本脆弱性を修正するバージョンはリリースされておりません。攻撃が成立する機会を減らすため、以下の対応が考えられます。

• ウイルス対策ソフトの定義ファイルを最新にする
• 不必要なWebサイトにアクセスしない
• クライアントに余計な通信を許可しない

上記対応は、普段から実施いただくことを推奨いたします。
また、業務等でJavaが必要なサイト以外は、一時的に使用しているブラウザのJavaプラグインを無効化することも対策となります。

なお、Oracle社から本脆弱性を修正したバージョンがリリースされた際にはご利用環境への影響を確認の上、アップデートいただくことを推奨いたします。

Java SEダウンロードサイト
http://www.oracle.com/technetwork/java/javase/downloads/index.html

【参考サイト】

CVE-2012-4681
http://cve.mitre.org/cgi-bin/cvename.cgi?name=2012-4681

JVNTA12-240A: Oracle Java 7 に脆弱性
http://jvn.jp/cert/JVNTA12-240A/

FireEye社blog(英語)
http://blog.fireeye.com/research/2012/08/zero-day-season-is-not-over-yet.html

【検証イメージ】

【検証ターゲットシステム】

• Windows XP SP3
• Java SE JRE 7 Update 6

上記環境で以下のブラウザを介して攻撃が成立することを確認しました。

• Internet Explorer 7
• Firefox 14
• Google Chrome 21

【検証概要】

ターゲットシステム上で、悪意のあるユーザが作成したWebページを閲覧させることで、攻撃コードを実行させます。それによって、ターゲットシステムにおいて任意のコードを実行させます。
ターゲットシステムは、悪意のあるユーザが用意したホストに制御が誘導されます。

今回の検証に用いたコードは、ターゲットシステム上から特定のサーバ、ポートへコネクションを確立させるよう誘導し、システムの制御を奪取するものです。
これにより、リモートからターゲットシステムが操作可能となります。

＊ 誘導先のシステムは Debian です。

【検証結果】

下図は、攻撃後の誘導先のシステム画面です。

下図の赤線で囲まれている部分の示すように、誘導先のコンピュータ（Debian）のターミナル上にターゲットシステム（Windows XP）のプロンプトが表示されています。
黄線で囲まれている部分の示すように、ターゲットシステムにおいて、コマンドを実行した結果が表示されています。これにより、ターゲットシステムの制御の奪取に成功したと言えます。