Oracle's patch Java mengandungi lubang baru, penyelidik memberi amaran

Para penyelidik dari Penjelajahan Keselamatan, sebuah firma penyelidikan kerentanan yang berpangkalan di Polandia, menuntut telah menemukan dua kelemahan baru di Java 7 Update 11 yang dapat dieksploitasi untuk memintas perangkat lunak

Oracle mengeluarkan Java 7 Update 11 pada Ahad lalu sebagai kemas kini keselamatan kecemasan untuk menghalang eksploitasi sifar hari yang digunakan oleh penjenayah siber untuk menjangkiti komputer dengan perisian hasad.

Explorations Security berjaya disahkan bahawa pelepasan kotak pasir keselamatan Java yang lengkap masih boleh dicapai di bawah Java 7 Update 11 (JRE versi 1.7.0_11-b21) dengan mengeksploitasi dua kelemahan baru yang ditemui oleh penyelidik syarikat itu, Adam Gowdiak, pengasas syarikat itu, berkata pada hari Jumaat dalam satu mesej yang dihantar ke senarai surat Pendedahan Penuh. Kerentanan dilaporkan kepada Oracle pada hari Jumaat, bersama-sama dengan kod eksploitasi bukti konsep yang berfungsi, katanya.

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows Anda]

Menurut polisi pendedahan Keselamatan Exploration, butir-butir teknikal mengenai kelemahan tidak akan didedahkan secara terbuka sehinggalah vendor mengeluarkan patch.

Fragabiliit yang tidak berkaitan

Penyelidik dari firma keselamatan Kekebalan yang menganalisis eksploit yang digunakan oleh penjenayah siber sejak minggu lalu menyimpulkan bahawa ia juga menggabungkan dua kelemahan untuk mencapai melepaskan kotak pasir Jawa. Walau bagaimanapun, mereka kemudian berkata dalam catatan blog bahawa Java 7 Update 11 hanya membahas salah satu daripada mereka dan memberi amaran bahawa jika penyerang mencari kelemahan lain untuk menggantikan yang ditambal itu, eksploitasi baru boleh dibuat.

Kerentanan yang ditemui oleh Penjelajahan Keselamatan adalah terpisah dari yang tidak disahkan oleh Oracle di Java 7 Update 11, Gowdiak mengatakan melalui e-mel.

Beberapa penyelidik keamanan, termasuk dari Tim Kesediaan Kecemasan Komputer AS (US-CERT), terus memberi nasihat kepada pengguna untuk menonaktifkan Java pemalam penyemak imbas walaupun pelepasan Java 7 Update 11, memetik kebimbangan bahawa serangan serupa mungkin berlaku pada masa akan datang.

"Sesungguhnya ada sesuatu yang membimbangkan mengenai kualiti kod Java SE 7," kata Gowdiak. Ini boleh mencetuskan kekurangan program Lifecycle Lif Secure yang betul untuk Java atau beberapa masalah lain yang ada di dalam Oracle, katanya.

Yang mengatakan, hakikat bahawa Java 7 Update 11 meminta pengesahan pengguna sebelum membenarkan applet Java menjadi dilaksanakan di dalam pelayar pasti langkah ke arah yang betul dan boleh menghalang banyak serangan, kata Gowdiak.