Flere IT-sikkerhetsnettsteder melder om en ny nulldagssårbarhet i Oracles Java-plattform som kan gi uvedkommende fjernadgang til de sårbare systemene. Sårbarheten blir altså utnyttet aktivt i rettede angrep.
Sårbarheten som angripes finnes ifølge DeepEndReseach i alle utgaver av Java 7 (1.7), men ikke i Java 6 eller eldre. Men de eldre versjonene av Java inneholder andre sikkerhetshull som har blitt fjernet med Java 7.
Angrepskoden som kan utnytte den aktuelle sårbarheten, er fritt tilgjengelig som en modul til det mye brukte verktøyet Metasploit.
Drive-by
Infeksjonen skal kunne skje gjennom «drive-by»-angrep fra en webside, noe som innebærer at det er tilstrekkelig at en nettleser åpne websiden. Det skal ikke være nødvendig å lokke brukeren til å gjøre noe mer enn dette. Lenker til slike infiserte websider kan spres via e-post, lynmeldinger og fra andre websider.
Når brukeren besøker en infisert webside, vil en svært lite lesbar JavaScript-kode laste ned en ondsinnet Java-applet fra et gitt nettsted. Dersom angrepet lykkes, vil ytterligere kode bli lastet ned. For øyeblikket skal det være snakk om en variant av fjernstyringsverktøyet Poison Ivy.
Sårbarheten skal kunne utnyttes uavhengig av operativsystem, men angrep skal i noen tilfeller kunne hindres dersom nettleseren som benyttes er Google Chrome. Men trolig bare foreløpig.
Ingen offisiell sikkerhetfiks i siktet
Oracle oppdaterte Java så sent som i midten av august, noe som innebærer at den neste rutinemessige utgivelsen først vil skje i oktober. Med mindre selskapet bestemmer seg for å komme med en ekstraordinær sikkerhetsoppdatering innen den tid, vil Java-brukerne være utsatt for slike angrep i mer enn en måned til.
Inntil da bør bør brukerne deaktivere Java i hver av nettleserne som benyttes, og bare aktivere Java-pluginen midlertidig når man virkelig har behov for det, for eksempel ved innlogging i nettbank ved hjelp av BankID.
Java og andre plugin-teknologier kan i de fleste nettlesere deaktiveres fra siden som vises når man skriver «about:plugins» i adressefeltet til nettleseren. I nyere versjoner av Internet Explorer deaktiveres plugins fra et eget verktøy som er tilgjengelig fra menyen som vises når man klikker på tannhjul-ikonet i øverste hjørne til høyre.
Det finnes riktignok en annen løsning, men den er bare egnet for avanserte brukere med særlige behov. Tyske Michael Schierl har laget en uoffisiell «patch» som skal fjerne sårbarheten. Men denne er bare tilgjengelig per e-post fra DeepEnd Research. Detaljene finnes nederst på denne siden.
Les også:
- [11.01.2013] Kraftig advarsel mot Java
- [14.11.2012] Staten går for BankID
- [26.09.2012] Ny kritisk Java-sårbarhet
- [21.09.2012] 3 av 4 har ikke oppdatert Java
- [18.09.2012] Internet Explorer angripes
- [05.09.2012] Java-svada
- [04.09.2012] – Java er sikkert nok
- [03.09.2012] Java-sandkassen knekket på nytt
- [31.08.2012] Oracle gir ut nødoppdatering til Java
- [30.08.2012] Fikk vite om Java-sårbarhet i april
- [11.06.2012] Lapper alvorlige Java-hull
- [17.04.2012] Vil blokkere alt plugin-innhold i Firefox
- [20.02.2012] BankID vil ikke vrake Java
- [15.02.2012] 14 nye grunner til å avinstallere Java
- [22.12.2011] – Du bør slette Java
- [16.09.2011] Glem både Flash, Silverlight og Java
