Oracle bergegas memperbarui Java yang lain, menetapkan 50 kerentanan

Mengikuti pendedahan oleh para penyelidik keselamatan kelemahan dalam kemas kini terakhir Java yang dikeluarkan pada bulan Januari, Oracle telah bergegas keluar menjelang jadual satu lagi pembetulan untuk bahasa pengaturcaraan.

Update terkini, yang pada asalnya dijadualkan dikeluarkan pada bulan Februari 19, mengandungi 50 perbaikan keselamatan untuk 49 kecacatan yang dapat dieksploitasi dari jauh tanpa kebenaran. Ini bermakna mereka boleh digunakan pada rangkaian tanpa pengetahuan nama pengguna dan kata laluan.

Oracle berkata ia dikemas kini awal kerana salah satu kelemahan yang ditangani dalam kemas kini telah dieksploitasi di alam liar

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows Anda]

"Oleh kerana ancaman yang ditimbulkan oleh serangan yang berjaya, Oracle sangat menyarankan agar pelanggan menggunakan pembetulan CPU secepat mungkin," kata syarikat itu memberi amaran kepada nasihat kemas kini.

Oracle bergegas pembaikan keselamatan untuk Jawa pada bulan Januari selepas Pasukan Kesediaan Kecemasan Komputer Jabatan Keselamatan Dalam Negeri (US-CERT) mencadangkan perisian itu dilumpuhkan oleh semua penggunanya kerana kebimbangan keselamatan. Kebimbangan itu melibatkan kerentanan Zero Day yang dieksploitasi oleh toolkit yang dicipta oleh penjenayah siber dan digunakan untuk mencuri maklumat sensitif dari komputer.

Walaupun selepas pembaikan itu, Java 7 mengemas kini 11, agensi itu masih disyorkan mematikan Java kecuali menggunakannya perlu.

Ia dengan cepat menjadi jelas bahawa penetapan 7u11 telah terlepas tandanya. Hanya beberapa hari selepas pelepasannya, seorang penggodam mula menjual pasaran hitam dalam talian sepasang kelemahan Java Zero Day yang baru seharga $ 5000.

Penggodam yang lain, mungkin kurang mendapat kemahiran untuk mencari kelemahan, mula mengeksploitasi berita utama tentang kesengsaraan Jawa dengan pemasangan ekspedisi phishing menawarkan kemas kini palsu mengenai bahasa pengaturcaraan Oracle. Selepas dipasang oleh pengguna, kemas kini palsu memasang pintu belakang kepada sistem yang membolehkan penggodam mengawalnya.

Kesilapan yang terdapat dalam kemas kini

Kesalahan Jawa diteruskan apabila kemudian dalam bulan Penjelajahan Keselamatan, sebuah firma keselamatan Poland dengan sejarah mencari kelemahan keselamatan di Jawa, menemui kelemahan baru dalam pembaruan 7u11 yang boleh dieksploitasi untuk menghindari kotak pasir program-teknik pengaturcaraan yang digunakan untuk mengasingkan kod jahat yang boleh dilakukan oleh sistem jahat.

"Masalah-masalah ini akan diteruskan sehingga Oracle membetulkan kotak pasir, "kata Analis E-Ancaman Senior Bitdefender Bogdan Botezatu dalam sebuah wawancara.

Botezatu kritis tentang berapa banyak Oracle bergantung pada pengguna untuk menjaga keamanan dalam pembaruan 7u11.

Sebagai contoh, pembaruan set, secara lalai, tahap keselamatan tertinggi untuk Java. Pada tahap itu, setiap kali aplet Java yang tidak ditandatangani cuba berjalan dalam pelayar, mesej muncul memberi amaran kepada pengguna bahawa apl itu mungkin berbahaya dan pengguna perlu meneruskan risiko mereka sendiri.

Biasanya, pengguna mengabaikan amaran tersebut kerana mereka mendapati mereka menjengkelkan. Itu benar-benar berlaku untuk kanak-kanak yang bermain permainan Java di Web-fakta, Botezatu menegaskan, tidak hilang pada desperado digital. "Saya telah melihat banyak laman web yang menjalankan malware Java pada halaman yang telah dioptimumkan dengan kata kunci yang disasarkan kepada kanak-kanak," katanya.

Dengan kemas kini Java terkini, Oracle mungkin cuba mengubah nasibnya dengan program itu. Nampaknya telah melancarkan kemas kini 12 dalam skema penomorannya dan menetapkan pembungkusan terbaru pembaikan Java 7 update 13.