Temná stránka Javy

Našel jsem docela zajímavý článek, zdroj je darkreading.com a autorem je Kelly Jackson Higgins. Nechám jeho překlad:

Temná stránka Javy

Metasploit přidává nový modul pro nejnovější útoky Java, když se Java stane novým oblíbeným cílem kyberzločinců

01 | 2011:08
Kelly Jackson Higgins
Tmavé čtení
Je to dekadentní nástroj ze strany vývojářů, ale Jáva zůstává primární a stále často zapomenutou přítomností počítače, na kterou se stále více zaměřují darebáci.
Proč Java jako útočný vektor?

Díky jeho pronikavosti a nadměrnému počtu zastaralých verzí běžících na počítačích je Java v poslední době černým kloboukem pro hackery. Čísla říkají všechno: Asi 80 podnikových systémů provozuje zastaralé, neopravené verze Javy, podle údajů Qualys. A od třetího čtvrtletí roku 2010 společnost Microsoft detekovala nebo blokovala přibližně 6.9 milionu pokusů o zneužití Javy každé čtvrtletí, přičemž během tohoto 27.5měsíčního období došlo k celkem 12 milionu pokusů o zneužití.
Celkově 3 miliardy zařízení používají Javu na světě a 80% prohlížečů ji používá. Někteří velmi důvtipní uživatelé jej zatím preventivně úplně deaktivují nebo odinstalují.
Vývojáři široce populárního open source testovacího nástroje Matasploit pro testování tohoto týdne přidali nový modul pro nejnovější útok Java, který zneužívá nedávno opravenou zranitelnost v implementaci Oracle Java, Rhino. Chyba v Oracle Java SE JDK a JRE 7 a 6 aktualizuje 27 a dřívější verze, kterou původně oznámili vědci zde y zde a pak se rychle dočkala uskutečnění v podzemní soupravě zločinců, jak objevil blogger Brian Krebs váš web. Společnost Krebs On Security uvedla, že útok byl také veden v rámci zločinecké sady BlackHole.
«Java je kdekoli chce a nikdo ji správně neaktualizuje«Říká HD Moore, tvůrce a hlavní architekt pro Metasploit a CSO ve společnosti Rapid7. «Velmi málo společností to aktualizuje na svých počítačích.»
"Oracle nabízí funkci automatické aktualizace pro Javu, ale vyžaduje, aby ji uživatelé počítače mohli používat, což většina společností nepovoluje."„Říká Moore.

Ředitel společnosti Trusted Computing společnosti Microsoft Tim Rains na začátku tohoto týdne poukázal na příspěvek, že opravené chyby v softwaru Java společnosti Oracle jsou obléhány měsíce. «Zranitelnosti softwaru Java společnosti Oracle jsou již několik měsíců napadeny v relativně velkém měřítku a jak jsem již zmínil, aktualizace zabezpečení pro tyto chyby zabezpečení jsou již nějakou dobu k dispozici.»Říká déšť. «Pokud jste ve svém prostředí nedávno neaktualizovali prostředí Java, měli byste posoudit přítomná rizika. Organizace si musí mimo jiné uvědomit, že mohou mít spuštěnou více verzí prostředí Java.", On říká.

Chyba Java společnosti Oracle, kterou společnost Oracle opravila minulý měsíc, v zásadě umožňuje appletu Java spouštět libovolný kód mimo karanténu Java. Moore společnosti Rapid7 říká, že takzvaný Java Rhino Exploit (který funguje na více platformách, včetně Windows, iOS a Linux) se vyskytuje na pozadí, v bezvědomí uživatele zasaženého exploitem. Zajímavé je, že Linux je nyní zranitelnější vůči útokům. «Společnost Oracle to opravila, Apple požadoval aktualizaci softwaru. Ale většina z prodejců Poskytovatelé Linuxu ?? nevyžadují aktualizace„Říká Moore.
Obvykle se používá jako první fáze vícestupňového útoku, slouží ke stažení spustitelného souboru nebo instalaci robota.
Wolfgang Kandek, CTO společnosti Qualyx, říká, že tenier Metasploit podporující nejnovější exploit by pomohl zvýšit povědomí o nebezpečí zastaralých aplikací Java. «Výhodou toho, že jej máte na Metasploitu, je, že milí kluci mohou předvést, jak tento [útok] funguje", on říká.
Mnoho organizací zjistilo, že provozování zastaralých aplikací Java na zákaznických datech Qualys byly velké společnosti, říká. «Existuje tendence nemít dobré procesy pro opravu Javy. Letí pod radarem", On říká.

---- A tady článek končí.

Nepochybně to má hodně co do činění s tím, co jsme zmínili dříve ... tedy s tím, co Canonical přestane ve svých úložištích nabízet Javu od Oracle (ubuntu, Kubuntu, Xubuntuatd.), samozřejmě, ano Věštec neumožňuje zahrnout aktualizace, nestojí to za to, protože uživatel by byl příliš zranitelný vůči útokům, jako jsou výše uvedené.

Co si o tom myslíš? 😉

pozdravy

PD: Právě včera jsem četl výukový program o tom, jak je možné nainstalovat Linux na můj Nokia N70, stále jsem se nerozhodl udělat LOL !!!