□ 개요 o Java 개발 및 실행환경인 JDK/JRE 6 Update 10 이후 버전의 자바 배포 도구 (Java Deployment Toolkit) 플러그인과 ActiveX 컨트롤에서 매개변수로 전달되는 입력값 검증 오류 및 Update 18 이후 버전의 자바 플러그인의 오류로 인해 원격코드실행 취약점이 발생 [1, 2, 4] o 공격자는 특수하게 조작된 웹 페이지로 사용자를 유도하여, 해당 시스템에서 악의적인 Java 파일(JAR)을 실행할 수 있음 [2] o 해당 취약점을 이용하여 악성코드를 전파하는 사례[6]가 발견되어 주의가 요구됨 o 관련취약점 : - Java Deployment Toolkit 취약점 (CVE-2010-0886) - New Java Plug-in 취약점 (CVE-2010-0887)
□ 해당 시스템 o 영향 받는 소프트웨어 [4] - Java SE JDK/JRE 6 Update 10 ~ Update 19 - Java for Business JDK/JRE 6 Update 10 ~ Update 19 ※ Windows, Solaris, Linux 플랫폼에 관계없이 32비트 웹 브라우저에서 동작하는 Java 제품에서 영향을 받음
□ 해결 방안 o Java SE 또는 Java for Business JDK/JRE 6 Update 20을 설치 [3, 4] ※ Java 자동업데이트 설정권고: 제어판→Java→업데이트→"자동 업데이트 확인" 설정 [7]
□ 용어 정리 o Java : Sun Microsystems(現 Oracle)에서 개발한 플랫폼 독립적인 객체 지향 프로그래밍 언어로, 해당 언어 기반의 제품을 통칭하는 의미로도 사용됨 o Java Deployment Toolkit : Java 응용 프로그램을 쉽게 배포할 수 있는 기능을 제공하는 Netscape 호환 플러그인과 ActiveX 컨트롤 [5] o JDK(Java Development Kit) : Java 응용 프로그램을 개발하기 위한 도구 o JRE(Java Runtime Environment) : Java 언어로 개발된 응용 프로그램의 실행 플랫폼 o JAR(Java ARchive) : Java 응용 프로그램 및 라이브러리를 배포하기 위해 사용되는 실행 가능한 파일 포맷
