Car-tech

Oracle's Java-patch indeholder nye huller, forskere advarer

Web Programming - Computer Science for Business Leaders 2016

Web Programming - Computer Science for Business Leaders 2016

Indholdsfortegnelse:

Anonim

Forskere fra Security Explorations, et polskbaseret sårbarhedsforskningsfirma, hævder at have fundet to nye sårbarheder i Java 7 Update 11, der kan udnyttes for at omgå softwareens sikkerhedssandkasse og udføre vilkårlig kode på computere.

Oracle udgivet Java 7 Update 11 i sidste søndag som en nødsikkerhedsopdatering for at blokere en nul-dag udnyttelse brugt af cyberkriminelle til at inficere computere med malware.

Sikkerhedsundersøgelser bekræftes med succes at en komplet Java Security Sandbox bypass stadig kan opnås under Java 7 Update 11 (JRE version 1.7.0_11-b21) ved at udnytte to nye sårbarheder opdaget af Virksomhedens forskere, Adam Gowdiak, firmaets grundlægger, sagde fredag ​​i en meddelelse sendt til mailinglisten Full Disclosure. Sårbarhederne blev rapporteret til Oracle på fredag ​​sammen med en fungerende proof-of-concept exploit-kode, sagde han.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

I henhold til Security Explorations ' Tekniske detaljer om sårbarheder vil ikke blive offentliggjort, før sælgeren udsteder en patch.

Uafhængige sårbarheder

Forskere fra sikkerhedsfirma Immunitet, der analyserede udnyttelsen af ​​cyberkriminelle siden sidste uge, konkluderede, at det også kombinerede to sårbarheder for at opnå en Java sandkasse undslippe. Men de sagde senere i et blogindlæg, at Java 7 Update 11 kun adresserede en af ​​dem og advarede om, at hvis angriberne fandt en anden sårbarhed for at erstatte den patched-en, kan en ny udnyttelse oprettes.

Sårbarhederne opdaget af sikkerhedsundersøgelser er adskilt fra den, der blev left unpatched af Oracle i Java 7 Update 11, sagde Gowdiak fredag ​​via email.

Nogle sikkerhedsforskere, herunder dem fra US Computer Emergency Readiness Team (US-CERT), fortsatte med at råde brugerne til at deaktivere Java browser plugin på trods af udgivelsen af ​​Java 7 Update 11, der henviser til bekymringer for, at lignende angreb kan opstå i fremtiden.

"Der er bestemt noget bekymrende med hensyn til kvaliteten af ​​Java SE 7-koden," sagde Gowdiak. Dette kunne tyde på manglen på et ordentligt Secure Development Lifecycle-program til Java eller nogle andre problemer, der er interne til Oracle, sagde han.

Når det er sagt, er det faktum, at Java 7 Update 11 beder om bekræftelse af brugere, før de tillader Java-applets. udført inde i browsere er helt sikkert et skridt i den rigtige retning og kunne blokere mange angreb, siger Gowdiak.