Unsafe JNI

Java Native Interface (JNI) の誤った使用は、Java アプリケーションをその他の言語のセキュリティの不備に対して脆弱にします。

Unsafe JNI エラーは、Java アプリケーションが JNI を使用して別のプログラミング言語で書かれたコードをコールするときに発生します。
例 1: 次の Java コードは、Echo という名前のクラスを定義します。このクラスは、コンソールで C 言語を使って入力されたコマンドをユーザーにそのまま伝える、ひとつのネイティブメソッドを宣言します。

    class Echo {
	public native void runEcho();

	static {
		System.loadLibrary("echo");
		}

	public static void main(String[] args) {
		new Echo().runEcho();
		}
}

次の C コードは Echo クラスで実装されるネイティブメソッドを定義します。

#include <jni.h>
#include "Echo.h" //javah でコンパイルされた Example 1 の java クラス
#include <stdio.h>

JNIEXPORT void JNICALL
Java_Echo_runEcho(JNIEnv *env, jobject obj)
{
	char buf[64];
	gets(buf);
	printf(buf);
}

この例の場合、Java で実装されるため、Buffer Overflow の脆弱性などのメモリ問題の影響を受けないように思われます。Java はメモリ操作を安全にするという特長がありますが、Java Native Interface を使用してアクセスできるその他の言語で書かれたソースコードで発生する脆弱性までは保護されません。Java で提供されるメモリ保護にもかかわらず、この例の C コードは入力に対して境界検査を行わない gets() を利用するため、Buffer Overflow に対して脆弱です。

Sun Java(TM) チュートリアルでは JNI [1] について以下のように説明されています。

JNI フレームワークを使用すると、ネイティブメソッドが Java オブジェクトを使用する際に Java コードと同様の方法で行うことができます。ネイティブメソッドは配列と文字列などの Java オブジェクトを作成でき、これらのオブジェクトを検査してタスクの実行に使用します。ネイティブメソッドは Java アプリケーションコードで作成されたオブジェクトを検査して使用することもできます。ネイティブメソッドは作成した Java オブジェクトや渡された Java オブジェクトを更新することができ、更新後のオブジェクトは Java アプリケーションで利用できます。このように、アプリケーションのネイティブ言語側と Java 側は共に Java オブジェクトの作成、更新、アクセスを行うことができ、これらのオブジェクトを共有します。

Example 1 の脆弱性は、ネイティブメソッド実装のソースコード監査で簡単に検出することができます。これは C ソースコードを利用できるかどうかや、プロジェクトのビルド方法によっては実用的でなかったり可能でないことがありますが、多くの場合は十分です。しかし、Java とネイティブメソッドでオブジェクトを共有できる能力は、潜在的なリスクを油断できないほどに拡げます。Java の誤ったデータ取り扱いがネイティブコードの予測不能な脆弱性につながったり、ネイティブコードでの安全でない使用により Java のデータ構造が破壊されることがあります。

一般的に、Java アプリケーションでアクセスするネイティブコードの脆弱性はネイティブ言語で書かれているアプリケーションと同様の方法で悪用されます。攻撃者は、Java アプリケーションがネイティブコードを使用して特定の操作を行っていることさえ識別できれば攻撃を行えます。これは、ネイティブコードを実装する特定の動作を識別する、または JNI の使用がわかってしまう Java アプリケーションの System Information Leak を利用するなど、さまざまな方法で行うことができます [2]。