Unsafe JNI

不適當的使用 Java Native Interface(JNI)，可能導致 Java 應用程式很容易受到其他語言安全性弱點的攻擊。

當一個 Java 應用程式使用 JNI 呼叫其他程式語言所編寫的程式碼時，會出現 Unsafe JNI 錯誤。
範例 1：以下 Java 程式碼會定義一個名為 Echo 的類別。此類別使用一種原生方法，使用 C 將在主控台輸入的指令回傳給使用者。

    class Echo {
	public native void runEcho();

	static {
		System.loadLibrary("echo");
		}

	public static void main(String[] args) {
		new Echo().runEcho();
		}
}

以下 C 程式碼會定義在 Echo 類別中執行的原生方法：

#include <jni.h>
#include "Echo.h" //the java class from Example 1 compiled with javah
#include <stdio.h>

JNIEXPORT void JNICALL
Java_Echo_runEcho(JNIEnv *env, jobject obj)
{
	char buf[64];
	gets(buf);
	printf(buf);
}

因為這個範例是在 Java 中執行的，所以看起來會像是對 Buffer overflow 之類的記憶體問題完全免疫。雖然 Java 在記憶體安全方面表現良好，但是這個保護機制並不適用於使用其他語言編寫，並使用 Java 原生介面 (Java Native Interface) 存取的來源程式碼中出現的漏洞。儘管 Java 提供了記憶體保護機制，此範例中的 C 語言程式碼仍然容易產生 Buffer overflow，因為它在沒有執行任何輸入檢查的情況下就使用了 gets()。

Sun Java(TM) Tutorial 提供了以下 JNI 說明 [1]：

JNI 框架可讓您的原生方法像 Java 程式碼那樣使用 Java 物件。原生方法可以建立 Java 物件 (包括陣列和字串)，並接著檢查和使用這些物件來執行工作。原生方法也可以檢查和使用由 Java 應用程式程式碼所建立的物件。原生方法甚至可以更新自己建立或傳送給自己的 Java 物件，且這些更新物件皆可供 Java 應用程式使用。因此，在應用程式中，無論是原生語言還是 Java 語言都能建立、更新和存取 Java 物件，並且彼此共用這些物件。

藉由稽核原生方法實作的來源程式碼，可以輕易地偵測到 Example 1 中存在的弱點。根據是否可使用 C 來源程式碼以及專案建立的方式而定，這個方法不一定可行，但在許多情況下，它是可行的。然而，這種可以在 Java 和原生方法間共用物件的機制，會把潛在的風險擴大為更嚴重的風險。在 Java 中不當處理資料可能會導致在原生程式碼中產生無法預期的弱點，或在原生程式碼中的不安全操作可能會破壞 Java 中的資料結構。

透過 Java 應用程式存取原生程式碼出現的弱點，通常與使用原生程式碼編寫的應用程式中出現的弱點是一樣的。這種攻擊面臨的唯一挑戰是：攻擊者必須辨別 Java 應用程式是否使用原生程式碼來執行特定操作。有許多方法可以達到以上目的，其中包括辨別通常使用原生程式碼來執行的特定行為，或者利用表明使用 JNI 之 Java 應用程式中的 System Information Leak [2]。