Car-tech

Nova exploração Java é vendida por US $ 5.000 na web preta; Possível ameaça a milhões de PCs

The Dark Side of the Web

The Dark Side of the Web

Índice:

Anonim

Para a Oracle, o deja vu é novamente.

Apenas dias Depois que lançou um patch para uma séria falha de segurança descoberta na semana passada em sua linguagem de programação Java, o software está nas manchetes novamente porque outra falha não divulgada anteriormente no programa ameaça a segurança de milhões de PCs que ainda podem ter o aplicativo rodando nele.

A Oracle divulgou uma correção para o Java tão grave que o Departamento de Segurança Interna dos EUA recomendou que usuários de computador desativassem o software, a menos que o uso fosse "absolutamente necessário".

[Leia mais: Como remover malware do seu Windows PC]

Esse conselho foi repetido segunda-feira pela equipe de emergência de emergência do departamento de computadores (US-CERT), mesmo depois que o patch foi disponibilizado para os usuários.

Vulnerablity à venda

Agora é bei Ng informou que um empreendedor Black Hat está vendendo uma nova vulnerabilidade do Dia Zero para a versão mais recente do Java (versão 7, atualização 11) para até dois compradores por US $ 5.000 cada.

Ambas as versões armadas e código-fonte da vulnerabilidade estavam sendo oferecido pelo vendedor, segundo o blogueiro de segurança Brian Krebs, que descobriu a oferta em um fórum exclusivo de cibercrime.

Desde Krebs descobriu a oferta, ele disse, foi removido do fórum do crime, sugerindo que o vendedor encontrou seus compradores para a explosão.

"Na minha opinião, isso deve dissipar quaisquer ilusões que as pessoas possam ter sobre a segurança de ter o Java instalado em um PC do usuário final sem tomar medidas cuidadosas para isolar o programa", escreveu Krebs. O mais recente exploit Java é pior que o anterior, porque ninguém sabe o que é, de acordo com Bogdan Botezatu, analista sênior de ameaças eletrônicas da produtora de software antivírus Bitdefender. Na falha corrigida de domingo, ele explicou, código de exploração foi identificado b y pesquisadores de segurança em alguns kits de malware populares. Com a última falha, só é conhecida pelo vendedor. "O método atual de exploração provavelmente permanecerá desconhecido por um período de tempo maior, o que também aumentará as janelas de oportunidade dos atacantes", disse Botezatu em um e-mail. No início desta semana, Botezatu observou em um blog que apesar do patch empurrado pela Oracle no domingo, os criminosos continuaram explorando a vulnerabilidade em máquinas não corrigidas para instalar ransomware neles.

A segurança da Oracle muda

Além de abordar o problema Vulnerabilidade Zero Day no patch de domingo, a Oracle também aumentou a configuração de segurança do Java para "alta" por padrão. "Isso significa que agora o usuário deve autorizar a execução de applets Java que não são assinados com um certificado válido", explicou Jaimie Blasco, gerente da AlienVault Labs, em um e-mail.

Embora essa mudança seja um grande passo para Tornando o Java mais seguro em um navegador, Blasco observou, está longe de ser uma panacéia para os problemas do Java.

"No passado, vimos que os invasores conseguiram roubar um certificado válido para assinar um código malicioso para que ele ganhasse" Não me surpreenda se vermos essa técnica sendo usada ", disse ele.

Como o Java parece estar cheio de vulnerabilidades, o Botezatu da Bitdefender recomenda que a Oracle identifique os componentes principais do software e os reescreva do zero.

Sem dúvida, mais do que uma pequena reescrita do software será feita quando a Oracle lançar a próxima versão do Java, programada para setembro.