Szerző: Gálffy Csaba

2012. szeptember 3. 11:18

A rendkívüli frissítés után is sebezhető a Java

Jórészt hatástalan maradt az Oracle csütörtökön kiadott soron kívüli biztonsági frissítése. A szakemberek szerint az egyik rést sikerült betömni, de számtalan nagyon hasonló sebezhetőség létezik, amelyek analóg módon használhatóak ki.

Továbbra is sérülékeny az Oracle Java futtatókörnyezet - jelentették be az eredeti hibát feltáró Security Explorations biztonsági cég munkatársai. A lengyel cég szakemberei szerint a javítást követően is lehetséges a Java sandboxból való kitörés, így a frissítéssel ellátott számítógépeken továbbra is tetszőleges kód futtatható a távolból, a felhasználó tudta és beleegyezése nélkül. A Security Explorations pénteken jelentette is az újabb hibát az Oracle felé, amihez mellékelte a megfelelő kódrészletet is.

Folytatódik a vesszőfutás

Az Oracle csütörtökön megtörte a hagyományos négyhavonkénti biztonsági frissítési ciklust és soron kívül javította a Java futtatókörnyezet hibáját. A hibát a Security Explorations még áprilisban jelentette a fejlesztőcég felé, az első támadásokat most augusztusban észlelték a biztonsági cégek. A hatalmas visszhangot kapott sérülékenységet az Oracle soron kívül javította, a csütörtöki frissítés két biztonsági rést és egy mélyebben fekvő potenciális biztonsági hibát is javított. A javítások nyomán a rést kihasználó kódok hatástalanná váltak, a biztonsági mechanizmusokat megkerülő eredeti kód is működésképtelenné vált.

Adam Gowdiak, a Security Explorations szakértője szerint a frissítés valóban sikerrel hatástalanította az eredeti támadó kódot. A probléma alaposabb vizsgálatával azonban sikerült újabb, hasonló réseket felfedezni, amelyek megfelelő kombinációjával a frissített rendszereken is át lehet törni a biztonsági korlátot. Gowdiak nem árult el további részleteket a biztonsági hiba pontosabb részleteiről, megnehezítendő a támadók feladatát.

Miért a Go a legjobban vágyott programozási nyelv? (x)

A HackerRank 2020-as kutatása szerint a legtöbb fejlesztő a Go-t tanulja majd meg legújabb nyelvének - nézzük miért!

Miért a Go a legjobban vágyott programozási nyelv? (x) A HackerRank 2020-as kutatása szerint a legtöbb fejlesztő a Go-t tanulja majd meg legújabb nyelvének - nézzük miért!

A BuheraBlog információi szerint egyébként az eredeti (és valószínűleg az újabb) hibák az alternatív Java-motorokban is megtalálhatóak, így az OpenJDK és az IcedTea is sérülékeny. Mindkét szoftverben javították már a hibát, így érdemes minél hamarabb frissíteni a futtatókörnyezetet. A biztonsági blog egyébként gyorstesztet is végzett, az eredeti támadó kódot (tehát nem a kártevő kódot) a Virus Total által képvisel antivírus alkalmazások 37 százaléka ismerte fel, kis obfuszkációval ez az arány 12 százalékra esett vissza. Bár a támadás nyomán telepítendő rosszindulatú alkalmazásokat várhatóan jóval nagyobb eséllyel fogják meg a biztonsági programok, a támadó kóddal egyelőre nem sokat tudtak kezdeni - ez különösen célzott támadások esetén aggasztó, ezekben ugyanis nem tömegesen alkalmazott, hanem nagyon specifikus, jó eséllyel a radar alatt maradó malware települ.

Jobb, ha nincs

Mivel az újabb hibákat kihasználó támadó kódok várhatóan gyorsan megjelennek, a szakemberek továbbra is a Java eltávolítását ajánlják az olyan gépeken, ahol a futtatókörnyezet jelenléte nem feltétlenül szükséges. Ahol valamiért szükség van a Java jelenlétére, érdemes legalább a böngészőkben letiltani az Oracle termékét, így a támadó oldalak nem képesek futtatni a kártékony szoftvert telepítő kódot. Ha netbankhoz elengedhetetlen a Java, akkor érdemes egyetlen böngészőben engedélyezni azt, ezt a böngészőt pedig csak erre az egy feladatra használni.

Regisztrálj az ingyenes Cloud-native és DevOps tippek nagyvállatoknak konferenciára, ahol a Red Hat és az Alerant szakértői bemutatják a Kubernetes, OpenShift, microservice architektúrák gyakorlati alkalmazását!

a címlapról

privátháló

2

VPN-nel bővül a Google One

2020. október 30. 11:52

A vaskosabb előfizetésekhez a Google új, ajándék VPN szolgáltatást is hozzácsap.