JRun 3.0 ve JRun 3.1, Java 2 Enterprise Edition (J2EE) uygulamaları geliştiren programcılar için bir nevi amiral gemisi. Windows NT4 ve Windows 2000 üzerinde IIS 4/5 çalıştıran firmalar açıktan etkileniyorlardı.
Açık, NGS Yazılım firmasının bir güvenlik araştırması sırasında, geliştiriciler tarafından keşfedildi ve CERT Koordinasyon Merkezine bildirildi. Açığın yüksek risk düzeyinde olduğu ve dışarıdan giren cracker’lara şirketin tüm web sunucusu üzerinde yönetim olanağı sağlayabildiği belirtiliyor.
Macromedia’nın yükleme sayfasında ilgili YAMA‘yı bulabilirsiniz. Macromedia yetkilileri bu yamanın Kasım 2001’den bu yana mevcut olduğunu belirtiyorlar.
Hata, NGS yazılım şirketinin güvenlik uzmanları tarafından JRun “buffer overflow” testine tabi tutulduğunda bulundu. ISAPI .dll’de açık bulundu. ISAPI .dll’ye erişen Cracker’lar, çok fazla bilgi göndererek, .dll’nin dönüş adresini kaydedebilmesine neden oluyor. Böylece de uzaktan erişen kişi, yerel bir sistem hesabına sahip olabiliyor.
NGS Software açığı nisan ayında Macromedia firmasına bildirdi.
JRun, Allaire tarafından geliştirilmiş bir yazılım. Daha sonra Macromedia tarafından alındı. Aslında fazla açık bulunmayan bir yazılım. CERT sitesinde daha önce raporlanan tek açık, 2000 Ocak ayına ait. Çapraz-site scripting açığı olarak bilinen bu açık daha önce yamalanmıştı.
Kaynak : 