Sun Java Web Start JNLP可预测文件定位漏洞发布时间：2002-07-22 更新时间：2002-07-22 严重程度：中 威胁程度：其它 错误类型：设计错误 利用方式：服务器模式 BUGTRAQ ID：5263 受影响系统 Sun Java Web Start 1.0详细描述 Sun's Java Web Start是通过WEB开发JAVA应用程序的平台，WEB START由JAVA实现，可使用在多种平台下。 通过WEB START配置的JAVA应用程序由JAVA Network Launching Protocol (JNLP)文件进行描述，它是一个XML文档用于描述应用程序和提供额外资源如IMAGE文件等的引用。 在JNLP文件中引用的图象文件存在在可预测位置中，攻击者可以建立恶意JNLP文件，系统处理时会放置在可预测系统位置中，通过请求引用文件的URL可导致恶意内容和代码执行。 测试代码 测试程序下载： http://kuperus.xs4all.nl/webstart.htm 解决方案 无 相关信息 "Jelmer" <jelmer@kuperus.xs4all.nl>. 参考：http://online.securityfocus.com/archive/1/282993 http://www.securityfocus.com/bid/3867 相关主页：http://java.sun.com/products/javawebstart/ |
