Java的阴暗面

我发现了一篇有趣的文章，来源是 黑暗阅读网 而作者是 凯莉·杰克逊·希金斯。 我留下它的翻译：

Java的黑暗面

当Java成为网络罪犯的新目标时，Metasploit添加了用于最新Java攻击的新模块

01年2011月08日| 下午08:XNUMX
凯利·杰克逊·希金斯（Kelly Jackson Higgins）
黑暗阅读
对于开发人员来说，这是一种腐朽的工具，但是 爪哇岛 它仍然是主要的并且仍然经常被人们遗忘的计算机，越来越成为反派分子的目标。
为什么将Java作为攻击媒介？

Java的可渗透性以及在计算机上运行的过时版本的数量过多，使得Java最近成为黑客的首选。 这些数字说明了一切：根据Qualys的数据，大约80个企业系统运行的Java的版本未更新。 自2010年第三季度以来，Microsoft每个季度检测或阻止了大约6.9万次Java利用尝试，在过去的27.5个月中，总共进行了12万次利用尝试。
总体而言，全球有3亿设备使用Java，而80％的浏览器都使用Java。 同时，出于安全考虑，一些非常精通安全性的用户正在禁用或完全卸载它。
本周广泛使用的开源Matasploit渗透测试工具的开发人员为最新的Java攻击增加了一个新模块，该模块滥用了Oracle Java实现中最近修补的漏洞Rhino。 研究人员最初宣布，Oracle Java SE JDK和JRE 7和6中的漏洞更新了27和更早版本。 信息 y 信息 后来，由于博客作者Brian Krebs在 您的网站。 Krebs On Security报告说，该攻击也在BlackHole犯罪软件套件中进行。
«Java随处可见，没有人正确更新“ Rapid7的Metasploit和CSO的创建者兼首席架构师HD Moore说。 «很少有公司在其计算机上更新它。»
“ Oracle确实提供了Java的自动更新功能，但它要求计算机用户具有管理权限才能使用它，这是大多数公司所不允许的“说摩尔。

微软公司可信赖计算主管蒂姆·雷恩斯（Tim Rains）本周早些时候在一篇帖子中指出，Oracle Java软件中已修补的错误已经受到围攻了几个月。 «甲骨文（Oracle）Java软件中的漏洞已受到相对较大规模的攻击，已有数月之久，并且正如我所提到的，针对这些漏洞的安全更新已经发布了一段时间。»说下雨。 «如果您最近没有在环境中更新Java，则应评估存在的风险。 除其他事项外，组织需要意识到他们可以运行多个版本的Java。“， 他说。

Oracle的Java安全漏洞已于上个月由Oracle修复，基本上允许Java小程序在Java沙箱外部运行任意代码。 Rapid7的Moore表示，所谓的Java Rhino Exploit（可在包括Windows，iOS和Linux在内的多个平台上运行）在后台发生，对被该漏洞利用的用户不起作用。 有趣的是，Linux现在更容易受到攻击。 «Oracle对其进行了修补，Apple要求进行软件更新。 但是大多数 卖家 Linux提供者不需要更新“说摩尔。
它通常用作多阶段攻击的第一阶段，用于下载可执行文件或通过安装Bot。
Qualyx的CTO Wolfgang Kandek说，支持最新漏洞利用的Tenier Metasploit将有助于提高人们对过时Java应用程序危险性的认识。 «在Metasploit上使用它的好处是，好人可以演示这种[攻击]的工作方式“， 他说。
他说，许多组织发现在Qualys的客户数据上运行过时的Java应用程序都是大型公司。 «趋势是没有良好的Java修补程序。 他在雷达下飞行“， 他说。

---- 至此，文章结束。

毫无疑问，这与我们之前提到的内容有很大关系…… Canonical将停止在其存储库中提供来自Oracle的Java (Ubuntu, Kubuntu的, Xubuntu上等），很明显，是的 神谕 不允许包含更新，这是不值得的，因为用户将很容易受到上述攻击的攻击。

无论如何，您对此有何看法？ 😉

问候

PD： 就在昨天，我正在阅读有关如何在诺基亚N70上安装Linux的教程，但我还没有决定这样做。