Oracle releases fix emergency for Java zero-day exploit

Oracle mengeluarkan patch kecemasan untuk Java pada hari Isnin untuk menangani dua kelemahan kritikal, salah satunya secara aktif dieksploitasi oleh hacker dalam serangan yang disasarkan

Kerentanan, yang dikenalpasti sebagai CVE- 2013-1493 dan CVE-2013-0809, terletak di komponen 2D Jawa dan mendapat skor impak tertinggi dari Oracle.

"Kelemahan ini mungkin dieksploitasi dari jauh tanpa pengesahan, iaitu, mereka mungkin dieksploitasi melalui rangkaian tanpa memerlukan nama pengguna dan kata laluan, "kata syarikat itu dalam peringatan keselamatan. "Untuk mengeksploitasi untuk berjaya, pengguna yang tidak curiga menjalankan pelepasan yang terjejas dalam penyemak imbas mesti melawat laman web berniat jahat yang memanfaatkan kelemahan ini. Eksploitasi yang berjaya dapat mempengaruhi ketersediaan, integriti, dan kerahasiaan sistem pengguna. "

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows Anda]

Kemas kini yang baru dikeluarkan benjolan Java ke versi 7 Update 17 (7u17) dan 6 Kemas kini 43 (6u43), melangkaui 7u16 dan 6u42 untuk sebab-sebab yang tidak segera jelas.

Nota Oracle bahawa Java 6u43 akan menjadi kemas kini awam yang terakhir untuk Java 6 dan menasihati pengguna untuk menaik taraf ke Java 7. The Ketersediaan umum kemas kini Java 6 sepatutnya berakhir dengan Java 6 Update 41, yang dikeluarkan pada 19 Februari, tetapi nampaknya syarikat itu membuat pengecualian untuk patch kecemasan ini.

Kerentanan CVE-2013-1493 telah dieksploitasi secara aktif oleh penyerang sejak sekurang-kurangnya Khamis lepas, apabila penyelidik dari firma keselamatan FireEye mendapati serangan menggunakannya untuk memasang sekeping malware akses jauh dipanggil McRAT. Walau bagaimanapun, nampaknya Oracle menyedari kewujudan kekurangan ini sejak awal bulan Februari.

"Walaupun laporan eksploitasi kerentanan aktif CVE-2013-1493 baru-baru ini diterima, bug ini pada asalnya dilaporkan kepada Oracle pada 1 Februari 2013, malangnya terlambat untuk dimasukkan ke dalam pembukaan Update Critical Patch untuk Java SE pada 19 Februari, "kata Eric Maurice, pengarah jaminan perisian Oracle dalam posting blog Isnin.

Syarikat itu merancang untuk memperbaiki CVE-2013- 1493 dalam Pembetulan Patch Kritikal Java yang dijadualkan pada 16 April, kata Maurice. Tetapi, kerana kelemahan itu mula dimanfaatkan oleh penyerang, Oracle memutuskan untuk melepaskan patch lebih awal.

Kedua-dua kelemahan yang ditangani dengan kemas kini terkini tidak menjejaskan Java berjalan pada pelayan, aplikasi desktop Java yang tersendiri atau aplikasi Java yang tertanam, Kata Maurice. Pengguna dinasihatkan untuk memasang patch secepat yang mungkin, katanya.

Pengguna boleh melumpuhkan sokongan untuk kandungan Java berasaskan Web dari tab keselamatan dalam panel kawalan Java jika mereka tidak memerlukan Java di Web. Tetapan keselamatan untuk kandungan sedemikian ditetapkan dengan tinggi secara lalai, yang bermaksud pengguna diminta untuk memberi kuasa pelaksanaan applet Java yang tidak ditandatangani atau ditandatangani sendiri di dalam peramban.

Ini dirancang untuk mencegah eksploitasi otomatis kerentanan Java terhadap Web, tetapi hanya berfungsi sekiranya pengguna mampu membuat keputusan bermaklumat mengenai aplet yang diberi kuasa dan yang tidak. "Untuk melindungi diri mereka, pengguna desktop hanya boleh membenarkan pelaksanaan applet apabila mereka mengharapkan aplet tersebut dan mempercayai asal usulnya," kata Maurice.