Java varjukülg

Olen leidnud üsna huvitava artikli, allikas on darkreading.com ja autor on Kelly Jackson Higgins. Jätan selle tõlke:

Java varjukülg

Metasploit lisab uusimatele Java-rünnakutele uue mooduli, kui Java muutub küberkurjategijate uueks lemmiksihiks

01. detsember 2011 | 08:08
Autor Kelly Jackson Higgins
Tume lugemine
See on arendajate dekadentlik tööriist, kuid Java see on endiselt peamine ja endiselt sageli unustatud arvuti kohalolek, millele kurjamid üha enam tähelepanu pööravad.
Miks Java kui ründevektor?

Selle läbitungitavus ja liiga palju vananenud versioone, mis seal arvutites otsa saavad, teevad Java-st häkkerite jaoks viimase aja musta mütsi. Numbrid ütlevad kõik: Qualyse andmetel töötab umbes 80 ettevõttesüsteemis Java vananenud ja parandamata versioone. Ja alates 2010. aasta kolmandast kvartalist on Microsoft avastanud või blokeerinud igas kvartalis umbes 6.9 miljonit Java ekspluateerimiskatset, kokku 27.5 kuu jooksul 12 miljonit ekspluateerimiskatset.
Kokku kasutab Java Java-d maailmas 3 miljardit seadet ja 80% brauseritest. Samal ajal keelavad mõned turvatundlikud kasutajad selle täielikult ettevaatusabinõuna.
Sel nädalal laialt levinud avatud lähtekoodiga Matasploit tungimistestimise tööriista arendajad lisasid uusimale Java-rünnakule uue mooduli, mis kuritarvitab hiljuti Oracle'i Java-rakenduses lappinud haavatavust Rhino. Oracle Java SE JDK ning JRE 7 ja 6 värskenduse 27 ja varasemate versioonide viga, millest teadlased algselt teatasid siin y siin ja jõudis siis kiiresti põrandaaluse kriminaaltarkvara komplekti, nagu blogija Brian Krebs aastal avastas oma veebisaidil. Krebs On Security teatas, et rünnakut korraldati ka kriminaalvarakomplekti BlackHole raames.
«Java on seal, kus ta tahab, ja keegi ei uuenda seda korralikult«Ütleb Rapid7 Metasploiti ja CSO looja ja peaarhitekt HD Moore. «Väga vähesed ettevõtted värskendavad seda oma arvutis.»
„Oracle pakub Java-i jaoks automaatse värskendamise funktsiooni, kuid selle kasutamiseks on arvutikasutajal vaja administraatoriõigusi, mida enamik ettevõtteid ei luba"Ütleb Moore.

Microsofti usaldusväärse arvutustehnika direktor Tim Rains märkis selle nädala alguses oma postituses, et Oracle'i Java tarkvara lappide vead on juba mitu kuud piiratud. «Oracle'i Java tarkvara haavatavusi on mitu kuud rünnatud suhteliselt suures ulatuses ja nagu mainisin, on nende haavatavuste turvavärskendused olnud saadaval juba mõnda aega.»Ütleb vihmasadu. «Kui te pole Java-keskkonda hiljuti värskendanud, peaksite hindama kaasnevaid riske. Muuhulgas peavad organisatsioonid teadma, et neil võib töötada mitu Java versiooni.", Ta ütleb.

Oracle'i Java-viga, mille Oracle eelmisel kuul lappis, võimaldab põhimõtteliselt Java-aplettil suvalist koodi käivitada väljaspool Java-liivakasti. Rapid7 Moore ütleb, et niinimetatud Java Rhino Exploit (mis töötab mitmel platvormil, sealhulgas Windows, iOS ja Linux) toimub taustal, teadvustamata kasutajale, keda ekspluateerimine tabab. Huvitav on see, et Linux on nüüd rünnakute suhtes haavatavam. «Oracle lappis selle, Apple nõudis tarkvarauuendust. Kuid enamus müüjad Linuxi pakkujad ?? pole värskendusi vaja"Ütleb Moore.
Seda kasutatakse tavaliselt mitmeastmelise rünnaku esimese etapina, mida kasutatakse käivitatava faili allalaadimiseks või roboti installimiseks.
Qualyxi tehnoloogiajuht Wolfgang Kandek ütleb, et uusimat ärakasutamist toetav tenier Metasploit aitaks tõsta teadlikkust vananenud Java-rakenduste ohtlikkusest. «Metasploiti kasutamisest on kasu, et toredad poisid saavad näidata, kuidas see [rünnak] töötab", ta ütleb.
Paljud organisatsioonid leidsid, et Qualysi kliendiandmetes töötavad aegunud Java-rakendused, mis on suured ettevõtted, ütleb ta. «Java-plaasterdamisel on tendents, et häid protsesse pole. Ta lendab radari alla", Ta ütleb.

---- Ja siin artikkel lõpeb.

Kahtlemata on sellel palju pistmist sellega, mida me varem mainisime ... st millega Canonical lõpetab Oracle'i Java pakkumise oma hoidlates (Ubuntu, Kubuntu, Xubuntujne), muidugi, jah Oraakel ei luba värskendusi lisada, see pole seda väärt, sest kasutaja oleks ülalnimetatud rünnakute suhtes liiga haavatav.

Igatahes, mida te sellest arvate? 😉

seoses

PD: Just eile lugesin õpetust selle kohta, kuidas on võimalik Linuxi oma Nokia N70 installida, ma pole ikka veel otsustanud seda teha LOL !!!