Темная сторона Явы

Нашла довольно интересную статью, источник darkreading.com а автор Келли Джексон Хиггинс. Оставляю перевод:

Темная сторона Java

Metasploit добавляет новый модуль для последних атак Java, когда Java становится новой излюбленной целью киберпреступников.

01 декабря 2011 г. | 08:08 вечера
Келли Джексон Хиггинс
Темное Чтение
Со стороны разработчиков это декадентский инструмент, но Java это остается основным и все еще часто забываемым компьютерным присутствием, которое все чаще становится мишенью злодеев.
Почему Java как вектор атаки?

Его проницаемость и чрезмерное количество устаревших версий, установленных на компьютерах, в последнее время делают Java черной шляпой, которую выбирают хакеры. Цифры говорят сами за себя: согласно данным Qualys, около 80 корпоративных систем используют устаревшие версии Java без исправлений. А с третьего квартала 2010 года Microsoft обнаруживала или блокировала примерно 6.9 миллиона попыток использования Java-атак каждый квартал, при этом за этот 27.5-месячный период в общей сложности было 12 миллионов попыток использования уязвимостей.
В целом в мире 3 миллиарда устройств используют Java, и 80% браузеров. Между тем, некоторые очень опытные пользователи в качестве меры предосторожности отключают или полностью удаляют его.
Разработчики широко популярного инструмента тестирования на проникновение Matasploit с открытым исходным кодом на этой неделе добавили новый модуль для последней атаки Java, которая использует недавно исправленную уязвимость в реализации Java Oracle, Rhino. Недостаток в Oracle Java SE JDK и JRE 7 и 6 update 27 и более ранних версиях, о котором первоначально заявили исследователи. здесь y здесь а затем быстро воплотился в тайный комплект преступного ПО, как обнаружил блогер Брайан Кребс в ваш сайт. Krebs On Security сообщил, что атака также проводилась в комплекте с программным обеспечением BlackHole.
«Java везде, где хочет, и никто не обновляет ее должным образом«Говорит HD Мур, создатель и главный архитектор Metasploit и CSO в Rapid7. «Очень немногие компании обновляют его на своих компьютерах.»
«Oracle предлагает функцию автоматического обновления для Java, но для ее использования пользователю компьютера требуются административные права, что не разрешается большинством компаний."Говорит Мур.

Директор Microsoft по Trusted Computing Тим Рейнс ранее на этой неделе указал в своем сообщении, что исправленные ошибки в программном обеспечении Oracle Java уже несколько месяцев находятся в осаде. «Уязвимости в программном обеспечении Oracle Java подвергались относительно крупномасштабным атакам в течение нескольких месяцев, и, как я уже упоминал, обновления безопасности для этих уязвимостей были доступны в течение некоторого времени.»Говорит Дождь. «Если вы недавно не обновляли Java в своей среде, вам следует оценить существующие риски. Среди прочего, организации должны знать, что у них может быть запущено несколько версий Java.", Он говорит.

Недостаток Java в Oracle, который был исправлен Oracle в прошлом месяце, в основном позволяет Java-апплету запускать произвольный код вне изолированной программной среды Java. Мур из Rapid7 говорит, что так называемый Java Rhino Exploit (который работает на нескольких платформах, включая Windows, iOS и Linux) происходит в фоновом режиме, не осознавая пользователя, пострадавшего от эксплойта. Интересно, что Linux теперь более уязвим для атак. «Oracle исправила его, Apple потребовала обновить программное обеспечение. Но большая часть продавцы Провайдеры Linux ?? не требует обновлений"Говорит Мур.
Обычно это используется в качестве первого этапа в многоэтапной атаке, используется для загрузки исполняемого файла или установки бота.
Вольфганг Кандек, технический директор Qualyx, говорит, что поддержка последнего эксплойта tenier Metasploit поможет повысить осведомленность об опасности устаревших приложений Java. «Преимущество ее использования на Metasploit заключается в том, что хорошие парни могут продемонстрировать, как работает эта [атака].", он говорит.
По его словам, многие организации, использующие устаревшие приложения Java в данных о клиентах Qualys, были крупными компаниями. «Существует тенденция отсутствия хороших процессов для исправления Java. Он летит под радаром", Он говорит.

---- На этом статья заканчивается.

Несомненно, это во многом связано с тем, что мы упоминали ранее ... то есть с тем, что Canonical перестанет предлагать Java от Oracle в своих репозиториях (Ubuntu, Kubuntu, Xubuntuи т. д.), ну, очевидно, да Oracle не позволяет включать обновления, это того не стоит, так как пользователь будет слишком уязвим для атак, подобных упомянутым выше.

Во всяком случае, что вы думаете об этом? 😉

привет

PD: Буквально вчера я читал руководство о том, как можно установить Linux на свой Nokia N70, я все еще не решил это сделать LOL !!!