Artikel top billede

(Foto: Povl D. Rasmussen)

Beskyldning: Oracle har kendt farlige Java-huller i månedsvis

Oracle blev tilsyneladende helt tilbage i april gjort opmærksom på de åbne sikkerhedshuller i Java, der aktuelt udnyttes i et hastigt stigende antal angreb.

Computerworld News Service: Oracle har siden april kendt til de to sårbarheder i Java 7, der endnu ikke findes nogen rettelser af, som aktuelt udnyttes i malware-angreb.

Det hævder Adam Gowdiak, der er stifter og direktør for det polske it-sikkerhedsfirma Security Explorations.

2. april rapporterede Security Explorations 19 sikkerhedsproblemer i Java 7 til Oracle.

Det drejer sig blandt andet om de to 0-dagssårbarheder - det vil blot sige, at der ikke findes rettelser af dem - som aktuelt udnyttes til at inficere computere med malware, forklarer Gowdiak onsdag via e-mail.

Adam Gowdiaks firma rapporterede endnu flere sårbarheder i Java 7 til Oracle i løbet af de følgende måneder, indtil det samlede antal var oppe på 29.

"Vi demonstrerede 16 fuldstændige kompromitteringer af sandkassen i Java SE 7 i kraft af udnyttelsen af de fejl, vi havde fundet," fremhæver Gowdiak.

Udnytter to sårbarheder

Den Java-angrebskode, der blev offentliggjort på nettet tidligere på ugen og integreret i sættet af exploit-værktøjer ved navn Blackhole, udnytter ifølge analytikere fra sikkerhedsfirmaet Immunity to og altså ikke kun én sårbarhed i Java, som hidtil antaget.

"Den første fejl bruges til at få en reference ind i klassen sun.awt.SunToolkit, der er begrænset til applets, mens den anden fejl anvender den offentlige statiske metode getField på SunToolkit ved hjælp af refleksion med en immediate caller, der er tillid til, som omgår et sikkerhedstjek," forklarer udvikler Esteban Guillardoy fra Immunity tirsdag i et blogindlæg.

Selvom begge disse sårbarheder, hvoraf den ene er i klassen ClassFinder og den anden er i klassen MethodFinder, blev opdaget og rapporteret af Security Explorations til Oracle i april, så blev de i de proof of concept-koder, som firmaet forsynede Oracle med, kun sat i forbindelse med andre fejl og altså ikke hinanden, fortæller Gowdiak.

"Sådan som klassen SunToolkit og dens getField-metode bruges til at opnå en fuldstændig omgåelse af Java Virtual Machine-sandkassen, er helt anderledes end det, vi demonstrerede for Oracle," fortæller han.

Derfor kom angrebet

Læs også:

Sådan beskytter du dig imod den nye Java-sårbarhed.

Ekstremt farlig sårbarhed i Java udnyttes af hackere.

Derfor vurderer analytikerne, at de nye angreb sandsynligvis er resultatet af, at andre uafhængigt har opdaget de samme sårbarheder, frem for at der er sket et læk af oplysninger et sted i processen med rapportering af sårbarheder til Oracle.

Det er dog ikke muligt at sige med 100 procent sikkerhed, påpeger Gowdiak.

"Vi ved ikke, med hvem og i hvilken form eller detaljegrad Oracle eventuelt deler sårbarhedsoplysninger."

Oracle havde ifølge en statusrapport modtaget 23. august i forvejen planlagt at rette to sikkerhedshuller i sin kommende såkaldte Critical Patch Update i oktober sammen med 17 andre fejl i Java 7, der er rapporteret af Security Explorations, fortæller Gowdiak.

Oracle udgiver sikkerhedsopdateringer hvert kvartal.

Rettede kun tre huller

Den seneste Critical Patch Update af Java blev udgivet i juni og rettede kun tre af de sikkerhedshuller, som det polske it-sikkerhedsfirma havde rapporteret.

"Selvom vi holder kontakt med Oracle og kommunikationsprocessen indtil videre har været nogenlunde problemfri, så ved vi ikke, hvorfor Oracle lod så mange alvorlige fejl ligge indtil oktober-opdateringen," bemærker Gowdiak.

Security Explorations har ifølge Gowdiak på nuværende tidspunktet ikke hørt noget om nogen ændringer i Oracles opdateringsplaner.

"Men vi håber, at Oracle vil være opgaven moden og så hurtigt som muligt udgive en Critical Patch Update af Java, der retter disse sikkerhedshuller."

Oracle har ikke svaret på en henvendelse om at kommentere på sårbarheds-rapporterne fra Security Explorations.

Selskabet har heller ikke endnu offentligt kommenteret på de to åbne sårbarheder, der aktivt udnyttes i et hastigt stigende antal angreb.

Læs også:

Sådan beskytter du dig imod den nye Java-sårbarhed.

Ekstremt farlig sårbarhed i Java udnyttes af hackere.

Oversat af Thomas Bøndergaard




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
KEYBALANCE A/S
Udvikling og salg af økonomisystemer samt CRM og MPS. Systemer til blandt andet maskinhandlere, vvs-branchen, vognmænd, låsesmede,handelsvirksomheder

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Parathed – Hvad gør din virksomhed, når I bliver ramt?

Cyberkriminalitet vokser som bekendt eksplosivt i takt med digitaliseringen i disse år og det kan være voldsomt dyrt at blive hacket. Potentielt kan det lægge jeres forretning helt ned, så I ikke kan rejse jer igen. Har jeres virksomhed styr på cybersikkerheden i en tid, der kalder på oprustning? Bliv inspireret til, hvad du som virksomhed kan gøre for at sikre virksomheden og medarbejdere, så I kan gå sikkert ind i fremtiden.

21. maj 2024 | Læs mere


Computerworld Summit 2024

Vi kigger ind i scenariet for fremtiden it-afdeling og hvordan virksomheden bedst muligt udnytter både nye og etablerede teknologier til at understøtte vækst og dermed sikre overlevelse i en konkurrencepræget verden.

23. maj 2024 | Læs mere


Den digitale trussel er konstant, kompleks og stadigt stigende - også i den offentlige sektor

I dagens Danmark har vi indrettet os sådan, at alt kommunikation mellem det offentlige og borgerne foregår på forskellige digitale platforme, hvilket gør både borgerne og de offentlige institutioner skrøbelige overfor cyberkriminalitet. Samtidig lyder det fra rapporter, at de offentliges it-systemer er støvede og fulde af teknisk gæld. Dette er en farlig cocktail for de offentlige institutioner, men en særdeles lækker drink for cyber-kriminelle.

28. maj 2024 | Læs mere