J2ME Hacks und Sicherheitslücken

Die KVM prüft lediglich ob die Klassen vorschriftsgemäß verifiziert wurden, die rechenaufwändige Überprüfung des Bytecodes wird somit eingespart.

Durch dieses Vorgehen werden zwar Ressourcen des Endgeräts eingespart und die Performance erhöht, jedoch wird das Sicherheitskonzept von Java durchbrochen. Man sollte als Anwender also unbedingt darauf achten, Midlets nur aus vertrauenswürdigen Quellen zu installieren. Wegen der fehlenden Bytecodeüberprüfung kann ein Angreifer versuchen, der KVM Bytecode unterzuschieben, der durch die Umgehung der Sicherheitsschecks selbige zum Absturz bringt und das ausführen von eigenem Code ermöglicht.

Dass dies kein theoretisches Problem ist, zeigte der polnische Sicherheitsexperte Adam Gowdiak auf der Konferenz “Hack in the Box” im November 2004 mit seinem Exploit auf einem Nokia 6310i. Ihm ist es gelungen, eigenen Bytecode so zu manipulieren dass ihn die KVM als geprüft akzeptiert und ausführt. Dadurch fand er einen Weg, um direkt auf den Hauptspeicher des Geräts zuzugreifen und damit Systemfunktionen außerhalb der KVM zu nutzen und zu verändern.