Odkryta przez Tavisa Ormandy-iego podatność w Java Deployment Toolkit (JDT) pozwala na  wyjątkowo łatwą dystrybucje złośliwego kodu za pomocą spreparowanej strony www. JDT to plugin NPAPI oraz kontrolka ActiveX, która pozwala na uproszczoną dystrybucję aplikacji Java. JDE jest automatycznie instalowany z środowiskiem uruchomieniowym Java Runtime Environment i stanowi część platformy Java 6.

Problem leży w niewystarczającym filtrowaniu parametrów przekazywanych do narzędzia Java Web start, które pozwala na uruchomienie zewnętrznych aplikacji Java (za pomocą Java Network Launching Protocol - JNLP). Przez odpowiednie wykorzystanie parametru "-J" programu javaws możliwe jest ściągnięcie dodatkowego kodu i uruchomienie go z uprawnieniami użytkownika.

Ormandy powiadomił już Sun (formalnie Oralce) o problemie, jednak wendor nie uznał go za odpowiednio krytyczny aby wypuścić poprawkę poza normalnym, 3 - miesięcznym cyklem wydawniczym.

Dalsze informacje (w tym propozycja obejścia problemu):

http://lists.grok.org.uk/pipermail/full-disclosure/2010-April/074036.html