Artikel top billede

Beskyldning: Oracle har kendt farlige Java-huller i månedsvis

Oracle blev tilsyneladende helt tilbage i april gjort opmærksom på de åbne sikkerhedshuller i Java, der aktuelt udnyttes i et hastigt stigende antal angreb.

Computerworld News Service: Oracle har siden april kendt til de to sårbarheder i Java 7, der endnu ikke findes nogen rettelser af, som aktuelt udnyttes i malware-angreb.

Det hævder Adam Gowdiak, der er stifter og direktør for det polske it-sikkerhedsfirma Security Explorations.

2. april rapporterede Security Explorations 19 sikkerhedsproblemer i Java 7 til Oracle.

Det drejer sig blandt andet om de to 0-dagssårbarheder - det vil blot sige, at der ikke findes rettelser af dem - som aktuelt udnyttes til at inficere computere med malware, forklarer Gowdiak onsdag via e-mail.

Adam Gowdiaks firma rapporterede endnu flere sårbarheder i Java 7 til Oracle i løbet af de følgende måneder, indtil det samlede antal var oppe på 29.

"Vi demonstrerede 16 fuldstændige kompromitteringer af sandkassen i Java SE 7 i kraft af udnyttelsen af de fejl, vi havde fundet," fremhæver Gowdiak.

Udnytter to sårbarheder

Den Java-angrebskode, der blev offentliggjort på nettet tidligere på ugen og integreret i sættet af exploit-værktøjer ved navn Blackhole, udnytter ifølge analytikere fra sikkerhedsfirmaet Immunity to og altså ikke kun én sårbarhed i Java, som hidtil antaget.

"Den første fejl bruges til at få en reference ind i klassen sun.awt.SunToolkit, der er begrænset til applets, mens den anden fejl anvender den offentlige statiske metode getField på SunToolkit ved hjælp af refleksion med en immediate caller, der er tillid til, som omgår et sikkerhedstjek," forklarer udvikler Esteban Guillardoy fra Immunity tirsdag i et blogindlæg.

Selvom begge disse sårbarheder, hvoraf den ene er i klassen ClassFinder og den anden er i klassen MethodFinder, blev opdaget og rapporteret af Security Explorations til Oracle i april, så blev de i de proof of concept-koder, som firmaet forsynede Oracle med, kun sat i forbindelse med andre fejl og altså ikke hinanden, fortæller Gowdiak.

"Sådan som klassen SunToolkit og dens getField-metode bruges til at opnå en fuldstændig omgåelse af Java Virtual Machine-sandkassen, er helt anderledes end det, vi demonstrerede for Oracle," fortæller han.

Derfor kom angrebet

Læs også:

Sådan beskytter du dig imod den nye Java-sårbarhed.

Ekstremt farlig sårbarhed i Java udnyttes af hackere.

Derfor vurderer analytikerne, at de nye angreb sandsynligvis er resultatet af, at andre uafhængigt har opdaget de samme sårbarheder, frem for at der er sket et læk af oplysninger et sted i processen med rapportering af sårbarheder til Oracle.

Det er dog ikke muligt at sige med 100 procent sikkerhed, påpeger Gowdiak.

"Vi ved ikke, med hvem og i hvilken form eller detaljegrad Oracle eventuelt deler sårbarhedsoplysninger."

Oracle havde ifølge en statusrapport modtaget 23. august i forvejen planlagt at rette to sikkerhedshuller i sin kommende såkaldte Critical Patch Update i oktober sammen med 17 andre fejl i Java 7, der er rapporteret af Security Explorations, fortæller Gowdiak.

Oracle udgiver sikkerhedsopdateringer hvert kvartal.

Rettede kun tre huller

Den seneste Critical Patch Update af Java blev udgivet i juni og rettede kun tre af de sikkerhedshuller, som det polske it-sikkerhedsfirma havde rapporteret.

"Selvom vi holder kontakt med Oracle og kommunikationsprocessen indtil videre har været nogenlunde problemfri, så ved vi ikke, hvorfor Oracle lod så mange alvorlige fejl ligge indtil oktober-opdateringen," bemærker Gowdiak.

Security Explorations har ifølge Gowdiak på nuværende tidspunktet ikke hørt noget om nogen ændringer i Oracles opdateringsplaner.

"Men vi håber, at Oracle vil være opgaven moden og så hurtigt som muligt udgive en Critical Patch Update af Java, der retter disse sikkerhedshuller."

Oracle har ikke svaret på en henvendelse om at kommentere på sårbarheds-rapporterne fra Security Explorations.

Selskabet har heller ikke endnu offentligt kommenteret på de to åbne sårbarheder, der aktivt udnyttes i et hastigt stigende antal angreb.

Læs også:

Sådan beskytter du dig imod den nye Java-sårbarhed.

Ekstremt farlig sårbarhed i Java udnyttes af hackere.

Oversat af Thomas Bøndergaard




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Ciklum ApS
Offshore software- og systemudvikling.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
AI i praksis: Fokus på teknologi og best practice

Tag med os på en rejse ind i AI’s verden, hvor vi udforsker anvendelsesmulighederne og belyser, hvordan AI kan gøre en positiv forskel. Vi kigger nærmere på de teknologier og platforme, som det kan give mening for din virksomhed at satse på, og eksperterne giver dig gode råd til, hvordan man kan arbejde innovativt og agilt med kunstig intelligens-løsninger.

19. august 2021 | Læs mere


MS Power Platform - hvad kan det for dig?

Med Microsoft Power Platform kan virksomhederne både visualisere og dele deres data helt uden kendskab til at kunne kode og digitalisere arbejdsgange. Hør hvordan en række danske virksomheder anvender platformen i store dele af virksomheden – og med succes.

24. august 2021 | Læs mere


Opgøret med legacy-systemer: Få styr på mulighederne, planen og businesscasen

I en verden hvor alt forandres konstant, og hvor kravene til virksomhedernes digitale formåen vokser, er der stadig mange organisationer og virksomheder, der bliver hæmmet af deres legacy-systemer. Det kan være en lang og hård rejse at afskaffe disse systemer, men på sigt kan virksomhederne høste frugt af deres arbejde.

25. august 2021 | Læs mere






Premium
Derfor afviser GK at betale løsesum efter stort ransomware-angreb: Dansk afdeling med 400 ansatte også berørt af hackerangreb
I forrige weekend blev den nordiske entreprenørvirksomhed GK ramt af et stort ransomware-angreb, der har berørt selskabets interne systemer og lækket personlige oplysninger. Men GK afviser på det kraftigste, at ville indlede forhandling med hackerne om frigivelse af data. "Vi anser angrebet for at være en kriminel handling og har anmeldt forholdet til politiet," oplyser GK til Computerworld.
Computerworld
Gigantisk kollektivt nedbrud rammer flere internationale hjemmesider
Igen var flere internationale hjemmesider ude af drift. En fejl ramte over 50 af de største internationale websites tordag aften. Se alle detaljer on nedbruddet her.
CIO
Årets CIO 2021: Nu skal Danmarks dygtigste CIO findes - er det dig? Eller kender du en, du vil indstille?
Det er den mest eftertragtede titel for danske it-chefer og CIO'er, der er på spil, når Årets CIO kåres 16. september 2021. Søg selv eller prik til en, som du kender - og læs mere om prisen her.
Job & Karriere
Så meget kan du tjene: Disse stillinger giver den højeste løn i den danske it-branche lige nu
Du skal have ledelsesansvar, hvis du vil helt tops i lønhierakiet i den danske it-branche, viser nye tal. Se hvor meget du kan tjene i de stillinger i it-branchen, der giver den højeste månedsløn lige nu.
White paper
Er det nu? Eller skal vi vente? Optimér udskiftning af servere i koncernen
Denne analyse giver dig svar på, hvordan du rammer ”the sweet spot”, der sikrer maksimal udnyttelse af eksisterende hardware i koncernens IT-miljø, inden du skifter til nye servere.