Ana e errët e Java-s

Kam gjetur një artikull mjaft interesant, burimi është darkreading.com dhe autori është Kelly Jackson Higgins. Unë lë përkthimin e tij:

Ana e errët e Java

Metasploit shton modul të ri për sulmet e fundit Java kur Java bëhet objektivi i ri i preferuar i kriminelëve në internet

01 dhjetor 2011 | 08:08 PM
Nga Kelly Jackson Higgins
Lexim i errët
Isshtë një mjet dekadent nga ana e zhvilluesve, por Java mbetet një prani kryesore dhe ende e harruar shpesh në kompjuterë që gjithnjë e më shumë po shënjestrohet nga villains.
Pse Java si një vektor sulmi?

Depërtueshmëria e tij dhe numri i tepruar i versioneve të vjetruara që dalin atje në kompjuter po e bëjnë Java-n kapelën e zezë të zgjedhur për hakerat kohët e fundit. Shifrat flasin gjithçka: Rreth 80 sisteme ndërmarrjesh ekzekutojnë versione të vjetruara, të papashuara të Java, sipas të dhënave të Qualys. Dhe që nga tremujori i tretë i vitit 2010, Microsoft ka zbuluar ose bllokuar afërsisht 6.9 milion përpjekje për shfrytëzim Java çdo tremujor, për një total prej 27.5 milion përpjekjesh të shfrytëzimit gjatë asaj periudhe 12-mujore.
Në përgjithësi, 3 miliard pajisje përdorin Java në botë, dhe 80% e shfletuesve e përdorin. Ndërkohë, disa përdorues të mençur të sigurisë po e çaktivizojnë ose çinstalojnë atë plotësisht si një masë paraprake.
Zhvilluesit e mjetit gjerësisht të popullarizuar të testimit të depërtimit të burimit të hapur Matasploit këtë javë shtuan një modul të ri për sulmin e fundit Java që abuzon me një dobësi të rregulluar kohët e fundit në zbatimin e Java të Oracle, Rhino. E meta në Oracle Java SE JDK dhe JRE 7 dhe 6 azhurnojnë 27 dhe versionet e mëparshme, e cila fillimisht u njoftua nga studiuesit këtu y këtu dhe pastaj shpejt u realizua me një pajisje kriminale kriminale, siç zbuloi blogeri Brian Krebs në faqen tuaj te internetit. Krebs On Security raportoi se sulmi po drejtohej gjithashtu në kompletin e krimbave BlackHole.
«Java është ku të dojë, dhe askush nuk e azhurnon siç duhet«Thotë HD Moore, krijues dhe arkitekt kryesor për Metasploit dhe OSHC në Rapid7. «Shumë pak kompani e azhurnojnë atë në kompjuterët e tyre.»
“Oracle ofron një veçori të azhurnimit automatik për Java, por kërkon privilegje administrative që përdoruesi i kompjuterit ta përdorë, diçka që shumica e kompanive nuk e lejojnë."Thotë Moore.

Drejtori i Microsoft i Trusted Computing, Tim Rains, në fillim të kësaj jave theksoi në një postim se defektet e ndrequra në programin Java të Oracle ishin nën rrethim për muaj me radhë. «Dobësitë në programin Java të Oracle janë sulmuar në një shkallë relativisht të madhe për disa muaj dhe, siç e përmenda, azhurnimet e sigurisë për këto dobësi ishin në dispozicion për disa kohë.»Thotë shirat. «Nëse nuk keni azhurnuar Java në mjedisin tuaj kohët e fundit, duhet të vlerësoni rreziqet e pranishme. Ndër të tjera, organizatat duhet të jenë të vetëdijshme se ata mund të kenë shumë versione të ekzekutimit të Java.", Ai thote.

E meta e Java e Oracle, e cila u rregullua nga Oracle muajin e kaluar, në thelb lejon që një applet Java të ekzekutojë një kod arbitrar jashtë kutisë së rërës Java. Moore i Rapid7 thotë se i ashtuquajturi Java Rhino Exploit (i cili punon në shumë platforma, përfshirë Windows, iOS dhe Linux) ndodh në sfond, pa ndjenja për përdoruesin e goditur nga shfrytëzimi. Interesante, Linux tani është më i prekshëm nga sulmet. «Oracle e rregulloi atë, Apple kërkoi një azhurnim të softuerit. Por shumica e shitësit Ofruesit e Linux ?? nuk kanë kërkuar azhurnime"Thotë Moore.
Kjo zakonisht përdoret si fazë e parë në një sulm me shumë faza, që përdoret për të shkarkuar një skedar të ekzekutueshëm ose duke instaluar një bot.
Wolfgang Kandek, CTO i Qualyx, thotë se tenier Metasploit duke mbështetur shfrytëzimin e fundit do të ndihmonte në rritjen e ndërgjegjësimit për rrezikun e aplikacioneve të vjetruara Java. «Përfitimet e të pasurit atë në Metasploit është se njerëzit e mirë mund të demonstrojnë se si funksionon kjo [sulm]", ai thote.
Shumë prej organizatave zbuluan se aplikacionet e vjetruara Java në të dhënat e klientëve të Qualys ishin kompani të mëdha, thotë ai. «Ekziston një tendencë për të mos pasur procese të mira për patch-in Java. Ai fluturon nën radar", Ai thote.

---- Dhe këtu artikulli mbaron.

Pa dyshim, kjo ka të bëjë shumë me atë që përmendëm më parë ... domethënë, në lidhje me atë Canonical do të ndalojë ofrimin e Java nga Oracle në depot e saj (Ubuntu, Kubuntu, Xubuntu, etj), qartë, po Orakull nuk lejon përfshirjen e azhurnimeve, nuk ia vlen, pasi përdoruesi do të ishte shumë i prekshëm ndaj sulmeve të tilla si ato të përmendura më sipër.

Sidoqoftë, çfarë mendoni për këtë? 😉

të fala

PD: Vetëm dje isha duke lexuar një udhëzues se si është e mundur të instaloj Linux në Nokia N70 tim, ende nuk kam vendosur ta bëj LOL !!!