Artikel top billede

(Foto: Povl D. Rasmussen)

Kritisk sårbarhed i vigtig Java-opdatering fra Oracle

Den nye rettelse, Java 7 Update 7, der skulle lukke en ekstremt farlig sårbarhed i Java 7, viser sig få timer efter frigivelsen at indeholde en ny kritisk sårbarhed.

Læs også:

Din antivirus snorksover: Blokerer ikke for Java-trussel.

Sådan beskytter du dig imod den nye Java-sårbarhed.

Ekstremt farlig sårbarhed i Java udnyttes af hackere.

Beskyldning: Oracle har kendt farlige Java-huller i månedsvis.

Endelig: Oracle lapper ekstremt farligt hul i Java.

Advarsel: Stort udbrud mod Java er under opsejling.

Computerworld News Service: Sikkerhedsanalytikere fra det polske it-sikkerhedsfirma Security Explorations hævder at have fundet en sårbarhed i den sikkerhedsopdatering til Java 7, som Oracle udgav torsdag.

Sårbarheden kan angiveligt udnyttes til at bryde ud af Javas sandkasse og køre arbitrær kode på det underlæggende styresystem.

Security Explorations sendte fredag en rapportering til Oracle om sårbarheden sammen med proof of concept-kode, oplyser stifter og direktør for it-sikkerhedsfirmaet Adam Gowdiak fredag via e-mail.

Venter ny rettelse fra Oracle

Security Explorations har ikke i sinde at offentliggøre nogen tekniske oplysninger om sårbarheden, før Oracle har lukket den med en ny rettelse, bemærker Gowdiak.

Oracle brød torsdag sit normale udgivelsesmønster for sikkerhedsopdateringer ved at offentliggøre nødopdateringen Java 7 Update 7 for at lukke tre sårbarheder, hvoraf to er blevet aktivt udnyttet siden forrige uge til at inficere computere med malware.

Herudover løser Java 7 Update 7 et "problem med sikkerheden i dybden," som ifølge Oracle ikke kan udnyttes direkte, men som kan forværre omfanget af andre sårbarheder.

Rettelsen af dette problem med sikkerheden i dybden, som Gowdiak kalder en "angrebsvektor," river tæppet væk under alle de proof of concept-koder til omgåelse af sikkerheden i Java Virtual Machine, som det polske it-sikkerhedsfirma tidligere har rapporteret til Oracle.

Security Explorations har tidligere på året ifølge Gowdiak rapporteret 29 sårbarheder i Java 7 til Oracle - heriblandt de to, der nu aktivt udnyttes af angribere.

16 proof of cencept-angreb

Bilagt disse rapporteringer var i alt 16 proof of concept-angreb, der ved hjælp af kombinationer af sårbarhederne var i stand til fuldt ud at omgå Javas sandkasse og køre arbitrær kode i det underliggende styresystem.

At metoderne getField og getMethod er blevet fjernet fra implementeringen af klassen sun.awt.SunToolkit i Java 7 Update 7 gør alle Security Explorations' proof of concept-angreb ubrugelige, forklarer Gowdiak.

Dette er dog kun tilfældet, fordi angrebsvektoren er blevet fjernet, og altså ikke fordi alle de sårbarheder, som proof of concept-angrebene udnyttede, er blevet rettet, fremhæver Gowdiak.

Sådan kan den nye sårbarhed misbruges på din computer

Den nye sårbarhed, som Security Explorations har opdaget i Java 7 Update 7, kan i kombination med nogle af de sårbarheder, som Oracle endnu ikke har rettet, udnyttes til igen at opnå komplet omgåelse af Java Virtual Machine-sandkassen.

"Da vi observerede, at vores komplette omgåelse af Java-sandkassen efter opdateringen ikke længere fungerede, tog vi et nyt kig på vores proof of concept-koder og begyndte at overveje mulige metoder til at knække denne seneste Java-opdatering," fortæller Gowdiak.

"Der opstod en ny idé, der blev efterprøvet, og det viste sig, at det fungerede."

Ingen kommentarer fra Oracle

Gowdiak er ikke klar over, hvornår Oracle har tænkt sig at lukke de resterende sårbarheder, som Security Explorations rapporterede i april, eller den nye som it-sikkerhedsfirmaet rapporterede fredag.

Det står heller ikke klart, om Oracle stadig vil udgive en ny sikkerhedsopdatering af Java i oktober, som tidligere planlagt. Oracle har afvist at kommentere.

Sikkerhedseksperter advarer jævnligt om, at hvis softwareleverandørerne tager for lang tid om at rette rapporterede sårbarheder, så er der øget risiko for, at datakriminelle opdager disse sårbarheder i mellemtiden, hvis de da ikke allerede kender til dem.

Det er sket ofte, at forskellige sikkerhedsanalytikere og hackere uafhængigt af hinanden har opdaget de samme sårbarheder i et givet produkt, hvilket tilsyneladende også er sket i tilfældet med de to sårbarheder i Java 7, der aktivt udnyttes, og som lukkes af Java 7 Update 7.

"Det kan aldrig udelukkes, at flere uafhængigt af hinanden opdager de samme ting," siger Gowdiak.

"Dette specifikke problem (den nye sårbarhed, red.) er dog sandsynligvis lidt sværere at opdage."

At dømme ud fra Security Explorations' analytikeres resultater med hensyn til at finde Java-sårbarheder, så er sikkerheden bedre i Java 6 end i Java 7.

"Java 7 har overraskende været meget lettere for os at knække," fortæller Gowdiak.

"I Java 6 er det ikke lykkedes os at opnå en komplet kompromittering af sandkassen på nær i kraft af den sårbarhed, der blev opdaget i Apple Quicktime."

Gowdiak understreger den samme pointe, som mange andre sikkerhedseksperter tidligere har gjort: Hvis du ikke har brug for Java, bør du fjerne softwaren fra dit system.
Læs også:

Din antivirus snorksover: Blokerer ikke for Java-trussel.

Sådan beskytter du dig imod den nye Java-sårbarhed.

Ekstremt farlig sårbarhed i Java udnyttes af hackere.

Beskyldning: Oracle har kendt farlige Java-huller i månedsvis.

Endelig: Oracle lapper ekstremt farligt hul i Java.

Advarsel: Stort udbrud mod Java er under opsejling.

Oversat af Thomas Bøndergaard




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
IT Relation A/S
Outsourcing, hosting, decentral drift, servicedesk, konsulentydelser, salg og udleje af handelsvarer, udvikling af software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Strategisk it-sikkerhedsdag – Identificer, beskyt og forsvar

Trusselsbilledet er rødglødende og it-sikkerhedslandskabet har aldrig været mere anspændt end nu. Flere organisationer end nogensinde før bliver som følge udsat for cyber-angreb, der er udført af professionelle og målrettede hackere Vi tager temperaturen på trusselslandskabet lige nu og giver dig overblikket over de nyeste trusler, de mest aktuelle tendenser og de bedste løsninger og værktøjer til at sikre effektiv drift og høj compliance.

23. august 2022 | Læs mere


Strategisk it-sikkerhedsdag – Identificer, beskyt og forsvar

Trusselsbilledet er rødglødende og it-sikkerhedslandskabet har aldrig været mere anspændt end nu. Flere organisationer end nogensinde før bliver som følge udsat for cyber-angreb, der er udført af professionelle og målrettede hackere Vi tager temperaturen på trusselslandskabet lige nu og giver dig overblikket over de nyeste trusler, de mest aktuelle tendenser og de bedste løsninger og værktøjer til at sikre effektiv drift og høj compliance.

25. august 2022 | Læs mere


CIO Trends 2022: Sådan ser opgavelisten ud hos Danmarks bedste CIOs

En hurtig og strategisk fokuseret implementering af nye teknologier er i disse år med til at sikre konkurrencekraften hos de bedste digitale vindere. Det sætter vi fokus på med konferencen CIO Trends 2022, hvor du blandt andet kan blive inspireret af en række danske topfolk inden for digitalisering og it-ledelse.

30. august 2022 | Læs mere






CIO
Stort CIO-interview: Lemvigh-Müllers milliard-omsætning er blevet digital