Le côté obscur de Java

J'ai trouvé un article assez intéressant, la source est darkreading.com et l'auteur est Kelly Jackson Higgins. J'en laisse la traduction:

Le côté obscur de Java

Metasploit ajoute un nouveau module pour les dernières attaques Java lorsque Java devient la nouvelle cible préférée des cybercriminels

01 décembre 2011 | 08h08
Par Kelly Jackson Higgins
Lecture sombre
C'est un outil décadent de la part des développeurs, mais Java il reste une présence informatique principale et encore souvent oubliée qui est de plus en plus ciblée par les méchants.
Pourquoi Java comme vecteur d'attaque?

Sa pénétrabilité et le nombre démesuré de versions obsolètes sur les ordinateurs font de Java le chapeau noir de choix pour les pirates ces derniers temps. Les chiffres disent tout: environ 80 systèmes d'entreprise exécutent des versions obsolètes et non corrigées de Java, selon les données de Qualys. Et depuis le troisième trimestre de 2010, Microsoft a détecté ou bloqué environ 6.9 millions de tentatives d'exploitation Java chaque trimestre, avec un total de 27.5 millions de tentatives d'exploitation au cours de cette période de 12 mois.
Au total, 3 milliards d'appareils utilisent Java dans le monde, et 80% des navigateurs le font. Pendant ce temps, certains utilisateurs très avertis en matière de sécurité le désactivent ou le désinstallent entièrement par précaution.
Les développeurs de l'outil de test de pénétration Matasploit open source très populaire ont ajouté cette semaine un nouveau module pour la dernière attaque Java qui abuse d'une vulnérabilité récemment corrigée dans l'implémentation Java d'Oracle, Rhino. La faille dans Oracle Java SE JDK et JRE 7 et 6 mise à jour 27 et versions antérieures, initialement annoncée par les chercheurs ici ! y ici ! puis s'est rapidement concrétisé dans un kit de crimeware underground, comme l'a découvert le blogueur Brian Krebs dans Votre site web. Krebs On Security a rapporté que l'attaque était également menée dans le kit de crimeware BlackHole.
«Java est là où il veut, et personne ne le met à jour correctement«Dit HD Moore, créateur et architecte en chef de Metasploit et CSO chez Rapid7. «Très peu d'entreprises le mettent à jour sur leurs ordinateurs.»
«Oracle propose une fonctionnalité de mise à jour automatique pour Java, mais il nécessite des privilèges administratifs pour que l'utilisateur de l'ordinateur puisse l'utiliser, ce que la plupart des entreprises n'autorisent pas."Dit Moore.

Plus tôt cette semaine, le directeur de Trusted Computing de Microsoft, Tim Rains, a souligné dans un article que les bogues corrigés dans le logiciel Java d'Oracle étaient assiégés depuis des mois. «Les vulnérabilités du logiciel Java d'Oracle sont attaquées à une échelle relativement importante depuis plusieurs mois et, comme je l'ai mentionné, des mises à jour de sécurité pour ces vulnérabilités sont disponibles depuis un certain temps.»Dit Rains. «Si vous n'avez pas récemment mis à jour Java dans votre environnement, vous devez évaluer les risques présents. Entre autres choses, les organisations doivent savoir qu'elles peuvent exécuter plusieurs versions de Java."Il dit.

La faille Java d'Oracle, qui a été corrigée par Oracle le mois dernier, permet essentiellement à une applet Java d'exécuter du code arbitraire en dehors du bac à sable Java. Moore de Rapid7 dit que le soi-disant Java Rhino Exploit (qui fonctionne sur plusieurs plates-formes, y compris Windows, iOS et Linux) se produit en arrière-plan, inconscient de l'utilisateur touché par l'exploit. Fait intéressant, Linux est désormais plus vulnérable aux attaques. «Oracle l'a corrigé, Apple a exigé une mise à jour logicielle. Mais la plupart des vendeurs Fournisseurs Linux ?? n'ont pas besoin de mises à jour"Dit Moore.
Ceci est généralement utilisé comme première étape dans une attaque en plusieurs étapes, utilisé pour télécharger un fichier exécutable ou en installant un bot.
Wolfgang Kandek, directeur technique de Qualyx, affirme que tenier Metasploit soutenant le dernier exploit contribuerait à sensibiliser le public au danger des applications Java obsolètes. «L'avantage de l'avoir sur Metasploit est que les gentils peuvent démontrer comment cette [attaque] fonctionne", il dit.
De nombreuses entreprises ont constaté que l'exécution d'applications Java obsolètes sur les données clients de Qualys étaient de grandes entreprises, dit-il. «Il y a une tendance à ne pas avoir de bons processus pour patcher Java. Il vole sous le radar"Il dit.

---- Et ici l'article se termine.

Sans aucun doute, cela a beaucoup à voir avec ce que nous avons mentionné précédemment ... c'est-à-dire en ce qui concerne Canonical cessera de proposer Java d'Oracle dans ses référentiels (Ubuntu, Kubuntu, Xubuntu, etc), bien évidemment, oui Oracle ne permet pas d'inclure des mises à jour, cela ne vaut pas la peine, car l'utilisateur serait trop vulnérable aux attaques telles que celles mentionnées ci-dessus.

Quoi qu'il en soit, qu'en pensez-vous? 😉

salutations

PD: Hier encore, je lisais un tutoriel expliquant comment il est possible d'installer Linux sur mon Nokia N70, je n'ai toujours pas décidé de le faire LOL !!!