Video: Dragnet: Big Kill / Big Thank You / Big Boys (Lokakuu 2024)
Oracle on julkaissut hätäpäivityksen sulkeaksesi vakavan Java-tietoturvavirheen, jota hyökkääjät olivat jo käyttäneet murtautuakseen käyttäjän tietokoneisiin.
Kaistan ulkopuolella oleva korjaustiedosto korjaa äskettäin löydetyn kriittisen haavoittuvuuden Oraclen Java 7: ssä, Oracle sanoi tietoturvatiedotteessaan, joka julkaistiin 13. tammikuuta. Hyökkääjä hyödyntäisi uusinta virhettä huijaamalla käyttäjiä vierailemaan verkkosivustolla, jolla on haittaohjelma. Käyttäjiä kehotetaan päivittämään heti Java 7 -päivitys 11: ksi.
Java 7 -päivitys 11 lieventää sekä CVE-2013-0422 (viimeisin haavoittuvuus) että CVE-2012-3174, vanhempi etäkoodin suorittamisvirhe, joka juonsi viime kesäkuuhun. Molemmat viat saivat yleisen haavoittuvuuden pisteytysjärjestelmän arvosanan 10, mikä on suurin mahdollinen pisteet tällä asteikolla. Tässä korjaustiedostossa Oracle sulki virheen ja muutti myös Java-toiminnan vuorovaikutusta Web-sovellusten kanssa.
"Java-sovelmien ja web-käynnistyssovellusten oletussuojaustaso on nostettu" keskisuuresta "korkeaseen", Oracle sanoi ohjeessa.
Tämä tarkoittaa, että käyttäjää pyydetään aina ennen allekirjoittamatonta Java-sovelmaa tai Web Start -sovellusta. Aiemmin Java-sovelmat ja sovellukset käynnistyivät automaattisesti, kun käyttäjille oli asennettu uusin Java-versio. Kun "korkea" -asetus on, käyttäjää varoitetaan aina ennen allekirjoittamattomien sovellusten suorittamista, jotta hyökkääjät eivät pysty käynnistämään hiljaisia hyökkäyksiä, Oracle sanoi.
Kaistan ulkopuolinen laastari
Oraclen hätäkorjaus on epätavallinen. Yhtiö yleensä korjaa Java: n neljännesvuosittain, mutta todennäköisesti julkaisi tämän kaistan ulkopuolisen korjauksen, koska tätä haavoittuvuutta hyödyntävä hyökkäyskoodi on jo lisätty useisiin suosittuihin hyväksikäyttöpakkauksiin, kuten "Blackhole" ja "NuclearPack". Crimware-sarjat helpottavat rikollisten tartuttamista tietokoneisiin haittaohjelmilla ja koneiden haltuunottoa omiin pahaan tarkoituksiinsa. Tutkijat ovat jo paljastaneet koodia käyttävät verkkosivustot, vaikka tällä hetkellä ei tiedetä kuinka monta käyttäjää on jo vaarannettu.
Oracle julkaisi aikaisemmin kaistan ulkopuolella olevan korjaustiedoston viime syksynä, kun tutkijat paljastivat samanlaisen etäkäyttövirheen.
Vaikuttaa Java-selaimeen, ei työpöydälle
On tärkeätä muistaa, että tässä päivityksessä korjatut kaksi etäkoodin suorittamisen haavoittuvuutta "koskevat vain Java-selaimia, koska ne ovat hyödynnettävissä haitallisten selainsovellusten kautta", Oraclen ohjelmistoturvajohtaja Eric Maurice kirjoitti Oracle Software Security Assurance -blogiin. Jos et käytä säännöllisesti Java-sivustoja, sinun kannattaa poistaa Java-laajennus selaimesta. Tässä on vaiheittaiset ohjeet Java-sovelluksen poistamiseksi käytöstä SecurityWatchin Neil Rubenking -sovelluksesta.
Monet työpöytäsovellukset ja suositut pelit (Minecraft, joku?) Käyttävät Javaa, mutta paikallista Java-asiakasohjelmaa ei ole uhattuna.
"Nämä haavoittuvuudet eivät vaikuta palvelimissa olevaan Java-palvelimeen, Java-työpöytäsovelluksiin tai sulautettuun Java-järjestelmään", Maurice kirjoitti.
