Mặt tối của Java

Tôi đã tìm thấy một bài báo khá thú vị, nguồn là darkreading.com và tác giả là Kelly Jackson Higgins. Tôi để lại bản dịch của nó:

Mặt tối của Java

Metasploit thêm mô-đun mới cho các cuộc tấn công Java mới nhất khi Java trở thành mục tiêu ưa thích mới của tội phạm mạng

Ngày 01 tháng 2011 năm 08 | 08:XNUMX chiều
Bởi Kelly Jackson Higgins
Đọc tối
Nó là một công cụ suy đồi đối với các nhà phát triển, nhưng Java nó vẫn là sự hiện diện máy tính chính và vẫn thường xuyên bị lãng quên, ngày càng bị các nhân vật phản diện nhắm mục tiêu.
Tại sao Java là một vector tấn công?

Khả năng thâm nhập của nó và số lượng không đáng kể các phiên bản lỗi thời đang chạy trên máy tính đang khiến Java trở thành lựa chọn của các hacker gần đây. Theo dữ liệu từ Qualys, khoảng 80 hệ thống doanh nghiệp đang chạy các phiên bản Java lỗi thời, chưa được vá lỗi. Và kể từ quý 2010 năm 6.9, Microsoft đã phát hiện hoặc chặn khoảng 27.5 triệu lần khai thác Java mỗi quý, trong tổng số 12 triệu lần khai thác trong khoảng thời gian XNUMX tháng đó.
Nhìn chung, 3 tỷ thiết bị sử dụng Java trên thế giới và 80% trình duyệt sử dụng Java. Trong khi đó, một số người dùng rất hiểu biết về bảo mật đang vô hiệu hóa hoặc gỡ cài đặt hoàn toàn để đề phòng.
Các nhà phát triển của công cụ kiểm tra thâm nhập Matasploit nguồn mở phổ biến rộng rãi trong tuần này đã thêm một mô-đun mới cho cuộc tấn công Java mới nhất lạm dụng một lỗ hổng được vá gần đây trong triển khai Java của Oracle, Rhino. Lỗ hổng trong Oracle Java SE JDK và JRE 7 và 6 cập nhật 27 và các phiên bản trước đó, được các nhà nghiên cứu công bố ban đầu đây y đây và sau đó nhanh chóng thành hiện thực trong một bộ phần mềm tội phạm bí mật, như blogger Brian Krebs đã phát hiện ra trong trang web của bạn. Krebs On Security báo cáo rằng cuộc tấn công cũng đang được thực hiện trong bộ phần mềm tội phạm BlackHole.
«Java ở bất cứ đâu nó muốn và không ai cập nhật nó đúng cách«HD Moore, người sáng tạo và kiến ​​trúc sư trưởng của Metasploit và CSO tại Rapid7 nói. «Rất ít công ty cập nhật nó trên máy tính của họ.»
“Oracle có cung cấp tính năng tự động cập nhật cho Java, nhưng nó yêu cầu đặc quyền quản trị để người dùng máy tính sử dụng nó, điều mà hầu hết các công ty không cho phép"Moore nói.

Giám đốc Máy tính Tin cậy của Microsoft, Tim Rains, đầu tuần này đã chỉ ra trong một bài đăng rằng các bản vá lỗi trong phần mềm Java của Oracle đã bị bao vây trong nhiều tháng. «Các lỗ hổng trong phần mềm Java của Oracle đã bị tấn công trên quy mô tương đối lớn trong vài tháng và như tôi đã đề cập, các bản cập nhật bảo mật cho các lỗ hổng này đã có sẵn trong một thời gian.»Nói Rains. «Nếu gần đây bạn chưa cập nhật Java trong môi trường của mình, bạn nên đánh giá những rủi ro hiện có. Trong số những điều khác, các tổ chức cần lưu ý rằng họ có thể có nhiều phiên bản Java đang chạy.", Anh ta nói.

Lỗ hổng Java của Oracle, được Oracle vá vào tháng trước, về cơ bản cho phép một ứng dụng Java chạy mã tùy ý bên ngoài hộp cát Java. Moore của Rapid7 nói rằng cái gọi là Java Rhino Exploit (hoạt động trên nhiều nền tảng, bao gồm Windows, iOS và Linux) xảy ra ở chế độ nền, người dùng bị khai thác vô thức. Điều thú vị là Linux hiện đang dễ bị tấn công hơn. «Oracle đã vá nó, Apple yêu cầu nâng cấp phần mềm. Nhưng hầu hết các người bán Các nhà cung cấp Linux ?? không yêu cầu cập nhật"Moore nói.
Điều này thường được sử dụng như một giai đoạn đầu tiên trong một cuộc tấn công nhiều giai đoạn, được sử dụng để tải xuống một tệp thực thi hoặc bằng cách cài đặt một bot.
Wolfgang Kandek, CTO của Qualyx, cho biết Tenier Metasploit hỗ trợ khai thác mới nhất sẽ giúp nâng cao nhận thức về mối nguy hiểm của các ứng dụng Java lỗi thời. «Lợi ích của việc có nó trên Metasploit là những người tử tế có thể chứng minh cách hoạt động của [cuộc tấn công] này", anh ta nói.
Ông nói, nhiều tổ chức đang chạy các ứng dụng Java lỗi thời trên dữ liệu khách hàng của Qualys là các công ty lớn. «Có xu hướng không có quy trình tốt để vá lỗi Java. Anh ấy bay dưới radar", Anh ta nói.

---- Và đây là bài viết kết thúc.

Không còn nghi ngờ gì nữa, điều này liên quan rất nhiều đến những gì chúng tôi đã đề cập trước đây ... nghĩa là, liên quan đến những gì Canonical sẽ ngừng cung cấp Java từ Oracle trong kho của nó (Ubuntu, Kubuntu, Xubuntu, v.v.), rõ ràng là có Oracle không cho phép bao gồm các bản cập nhật, nó không đáng, vì người dùng sẽ rất dễ bị tấn công như những cuộc tấn công đã đề cập ở trên.

Dù sao, bạn nghĩ gì về nó? 😉

Liên quan

PD: Mới hôm qua tôi đã đọc một hướng dẫn về cách có thể cài đặt Linux trên Nokia N70 của tôi, tôi vẫn chưa quyết định làm điều đó LOL !!!