安全研究人員在谷歌應用引擎（Google App Engine）的Java環境中發現了大量高危漏洞，攻擊者可以利用這些漏洞繞過谷歌安全沙盒的保護。
谷歌應用引擎（Google App Engine）是谷歌管理的數據中心中用于Web應用程序開發和托管的平臺，也是谷歌云計算的一部分。GAE（Google App Engine）還支持用戶使用多種語言和框架開發應用程序，但它們中的大部分都是建立在Java環境中。
沙盒提供獨立或者密閉的空間，能像實際的網絡但又并不與實際網絡相連接一樣工作。在這個孤立空間中，程序應用也可以被下載、解壓和測試，然后再移植到實際的服務器上，從而能夠防止惡意軟件致使網絡發生紊亂。攻擊者可以利用該漏洞實現一個完整的Java VM（虛擬機）安全沙盒逃逸，執行任意的代碼。研究人員估計漏洞的數量要超過30個。
安全研究人員利用該漏洞繞過了谷歌應用引擎JRE類的白名單，獲得了完整的JRE（Java運行環境）訪問權。他們發現了22個Java VM（虛擬存貯器）安全沙盒逃逸漏洞，并已成功測試了其中的17個。研究人員可以執行原生代碼（native code），執行任意庫/系統調用，獲得組成JRE沙盒的文件（二進制/類）的訪問權限。他們還可以從二進制文件中提取DWARF信息、從Java類、二進制文件中提取PROTOBUF定義。
京公網安備 11010502049343號