我看到很多与运行恶意小程序相关的Java CVE,但我很少看到影响JVM服务器端组件的CVE。例如:http://www.f-secure.com/v-descs/exploit_java_cve_2012_4681_h.shtml。有人能够列举一些例子或来源(也许是服务器端与客户端CVE的列表)来解释它们之间的区别吗?
一般来说,影响服务器端的CVE并不多见,因为服务器端几乎从不运行用户提供的代码(或攻击者的代码)。服务器端的漏洞主要是未能正确处理输入和配置问题,所以这不是Java的问题。然而,客户端(例如小程序)存在许多CVE,因为用户的本地JVM实际上正在运行攻击者提供的字节码。JVM中的漏洞随后可以被触发和利用。这些相同的漏洞通常存在于服务器端,但攻击者无法访问它们。另一个你不会看到很多服务器端CVE的原因是大多数服务器端漏洞是应用程序/实现特定的,只影响一个应用程序。然而,像WordPress这样的大型Web应用程序有相当多的CVE。