「Oracle Java 7」に未対応の脆弱性、攻撃も観測（JVN）

IPAおよびJPCERT/CCは、「Oracle Java 7」に任意のコードを実行される脆弱性が存在すると「JVN」で発表した。なお、本脆弱性を使用した攻撃コードが公開されており、攻撃も観測されている。

脆弱性と脅威セキュリティホール・脆弱性

2013.1.11 Fri 18:31

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は1月11日、Oracleが提供する「Oracle Java 7」に任意のコードを実行される脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。なお、本脆弱性を使用した攻撃コードが公開されており、攻撃も観測されている。

「Java Platform Standard Edition 7（Java SE 7）」「Java SE Development Kit（JDK 7）」「Java SE Runtime Environment（JRE 7）」を含む、すべてのJava Platform Standard Edition 7（1.7、1.7.0）を使用しているWebブラウザなどのシステムには、Javaのサンドボックスを回避され、任意のコードが実行可能な脆弱性（CVE-2013-0422）が存在する。この脆弱性が悪用されると、細工されたJavaアプレットが埋め込まれたWebページや、Java Network Launching Protocol（JNLP）ファイルを開くことで、任意のコードが実行される可能性がある。現時点で対策方法は公開されておらず、JVNではWebブラウザのJavaプラグインを無効にすることで本脆弱性の影響を軽減することが可能としている。

《吉澤亨史（ Kouji Yoshizawa ）》