Poprawka Oracle zawiera nowe dziury, ostrzegają badacze

Naukowcy z Security Explorations, polskiej firmy badającej podatność, twierdzą, że znaleźli dwie nowe luki w aktualizacji 7 Java 11, które można wykorzystać do ominięcia oprogramowania. bezpieczna piaskownica i wykonanie dowolnego kodu na komputerach.

Oracle wydało aktualizację Java 7 Update 11 w ostatnią niedzielę jako awaryjną aktualizację zabezpieczeń w celu zablokowania exploita zero-day używanego przez cyberprzestępców do infekowania komputerów złośliwym oprogramowaniem.

Security Explorations pomyślnie zatwierdzone że pełne obejście zabezpieczeń obszaru izolowanego Java może być nadal osiągnięte w ramach aktualizacji Java 7 Update 11 (wersja JRE 1.7.0_11-b21) poprzez wykorzystanie dwóch nowych luk odkrytych przez naukowcy firmy, Adam Gowdiak, założyciel firmy, powiedział w piątek w wiadomości wysłanej na listę mailingową Full Disclosure. Luki zostały zgłoszone firmie Oracle w piątek, wraz z działającym kodem exploit-proof-of-concept, powiedział.

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z komputera z Windows]

Zgodnie z polityką ujawnień Security Explorations, szczegóły techniczne dotyczące luk w zabezpieczeniach nie zostaną publicznie ujawnione, dopóki dostawca nie wyda poprawki.

Niepowiązane ze sobą luki

Naukowcy z firmy ochroniarskiej Immunity, którzy analizowali exploit wykorzystywany przez cyberprzestępców od zeszłego tygodnia, stwierdzili, że połączono również dwie luki w celu osiągnięcia poprawki. ucieczka piaskownicy Java. Jednak później napisali w poście na blogu, że Java 7 Update 11 adresowała tylko jedną z nich i ostrzegała, że ​​jeśli napastnicy znajdą kolejną lukę w celu zastąpienia łatki, może zostać utworzony nowy exploit.

Luki odkryte przez Security Explorations to: oddzielony od tego, który pozostawił niezarejestrowany przez Oracle w Java 7 Update 11, Gowdiak powiedział w piątek za pośrednictwem poczty elektronicznej.

Niektórzy badacze bezpieczeństwa, w tym ci z amerykańskiego zespołu komputerowej gotowości na wypadek awarii (US-CERT), nadal zalecali użytkownikom wyłączenie Javy wtyczkę do przeglądarki pomimo wydania aktualizacji Java 7 Update 11, powołując się na obawy, że podobne ataki mogą wystąpić w przyszłości.

"Z pewnością istnieje coś niepokojącego odnośnie jakości kodu Java SE 7," powiedział Gowdiak. Może to sugerować brak odpowiedniego programu Secure Development Lifecycle dla języka Java lub innych problemów, które są wewnętrzne dla Oracle, powiedział.

To powiedziawszy, fakt, że Java 7 Update 11 prosi o potwierdzenie użytkownika przed zezwoleniem na aplety Javy. Wykonane wewnątrz przeglądarek jest zdecydowanie krokiem we właściwym kierunku i może zablokować wiele ataków, powiedział Gowdiak.