阿里云漏洞库

中危 Oracle Java JDK/Open JDK 1.7/1.7.0_2/1.7.0_4 MurmurHash Implementation 拒绝服务漏洞

CVE编号

CVE-2012-5373

利用情况

暂无

补丁情况

官方补丁

披露时间

2012-11-29

漏洞描述

Java Development Kit (JDK) 是Sun公司(已被Oracle收购)针对Java开发员的软件开发工具包。Sun JDK使用的'MurmurHash3'算法处理哈希数据存在哈希碰撞漏洞，允许攻击者利用漏洞构建恶意HTTP请求对应用程序进行拒绝服务攻击。此漏洞类似之前报告的哈希算法碰撞漏洞(http://www.ocert.org/advisories/ocert-2011-003.html)，不过此漏洞涉及MurmurHash算法。

解决建议

目前厂商还没有提供此漏洞的相关补丁或者升级程序，建议使用此软件的用户随时关注厂商的主页以获取最新版本： http://openjdk.java.net/

参考链接
http://2012.appsec-forum.ch/conferences/#c17
http://asfws12.files.wordpress.com/2012/11/asfws2012-jean_philippe_aumasson-m...
http://www.ocert.org/advisories/ocert-2012-001.html
http://www.securityfocus.com/bid/56673
https://bugzilla.redhat.com/show_bug.cgi?id=880705
https://exchange.xforce.ibmcloud.com/vulnerabilities/80299
https://www.131002.net/data/talks/appsec12_slides.pdf

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	oracle	jdk	*		Up to (including) 1.7.0
	运行在以下环境
	应用	oracle	jre	*		Up to (including) 1.7.0
	运行在以下环境
	应用	oracle	openjdk	*		Up to (including) 1.7.0
	运行在以下环境
	系统	ubuntu_12.04.5_lts	icedtea-web	*		Up to (excluding) code-not-present
	运行在以下环境
	系统	ubuntu_14.04.6_lts	icedtea-web	*		Up to (excluding) code-not-present
	运行在以下环境
	系统	ubuntu_16.04.7_lts	icedtea-web	*		Up to (excluding) code-not-present
	运行在以下环境
	系统	ubuntu_18.04.5_lts	icedtea-web	*		Up to (excluding) code-not-present
	运行在以下环境
	系统	ubuntu_18.10	icedtea-web	*		Up to (excluding) code-not-present

攻击路径

本地
攻击复杂度

困难
权限要求

普通权限
影响范围

有限影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

无影响
数据完整性

N/A
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型

中危 Oracle Java JDK/Open JDK 1.7/1.7.0_2/1.7.0_4 MurmurHash Implementation 拒绝服务漏洞

漏洞描述

解决建议

参考链接

受影响软件情况