Windows

Tutkijat: Vakava virhe Java Runtime Environmentissä työpöytiä, palvelimia varten

Contain Yourself: An Intro to Docker and Containers by Nicola Kabar and Mano Marks

Contain Yourself: An Intro to Docker and Containers by Nicola Kabar and Mano Marks
Anonim

Puolan turvallisuustutkimusyrityksen Security Explorations -hakkerin Java-haavoittuvuuden metsästäjät väittävät löytäneen uuden haavoittuvuuden, joka vaikuttaa uusimpaan työasema- ja palvelinversioon Java Runtime Environment (JRE).

Haavoittuvuus sijaitsee Javain Reflection-sovelluskomponentissa, ja sitä voidaan käyttää Java-turvakäsikirjan täydelliseen ohittamiseen ja mielivaltaisen koodin suorittamiseen tietokoneilla, Security Explorationsin toimitusjohtaja Adam Gowdiak sanoi maanantaina sähköposti lähetetään Full Disclosure -postilistalle. Virhe vaikuttaa kaikkiin Java 7 -versioihin, mukaan lukien Java 7 Update 21, jonka julkaistiin viime tiistaina ja uusi palvelin JRE-paketti julkaistiin samaan aikaan.

Kuten nimestäkin käy ilmi, Server JRE on versio Java-käyttöympäristöstä, joka on suunniteltu Java-palvelimen käyttöönottoon. Oracle-palvelimen mukaan JRE ei sisällä Java-selaimen laajennusta, usein kohteena Web-pohjaisille kohteille, automaattisen päivityksen komponentin tai tavallisen JRE-paketin sisältämälle asentajalle.

[Lue lisää: Miten poistaa haittaohjelmat Windows-tietokoneelta]

Vaikka Oracle on tietoinen siitä, että Java-haavoittuvuuksia voidaan myös hyödyntää palvelinten käyttöönotolla toimittamalla haitallisia komponentteja sovellusrajapintoihin (sovellusohjelmointirajapintoihin), sen viesti on yleensä ollut se, että suurin osa Java- haavoittuvuudet vaikuttavat vain Java-selaimen laajennukseen tai että Java-virheiden käyttömahdollisuudet palvelimille ovat epätodennäköisiä, Gowdiak sanoi tiistaina sähköpostilla.

"Yritimme saada käyttäjiä tietoiseksi siitä, että Oraclen väitteet olivat virheellisiä suhteessa Java- SE: n haavoittuvuudet ", Gowdiak sanoi. "Olemme todistaneet, että Oraclen arvioimat ongelmat, jotka koskivat vain Java-laajennusta, voivat vaikuttaa palvelimiin."

Helmikuussa Security Explorations julkaisi Java-haavoittuvuuteen, joka luokiteltiin plug-in- joka olisi voinut hyökätä Javaa palvelimilla käyttäen RMI (remote method invocation) -protokollaa, Gowdiak sanoi.

Security Explorations tutkijat eivät ole varmistaneet, että JRE: n uusi haavoittuvuus heijastuivat onnistuneesti, mutta ne lueteltiin tunnettuja Java-sovellusliittymiä ja -komponentteja, joita voitaisiin käyttää epäluotettujen Java-koodien lataamiseen tai suorittamiseen palvelimissa.

Jos hyökkäysvektori on olemassa Oraclen "Secure Coding Guidelines for Java Ohjelmointikieli ", Java-palvelinasennuksia voidaan hyökätä sellaisen haavoittuvuuden kautta, joka on raportoitu maanantaina Oracleille, Gowdiak sanoi.

Tutkija kiisti Reflection-sovelluskehyksen täytäntöönpanon ja auditoinnin Java-tietoturvaongelmista, koska komponentti on ollut useiden haavoittuvuuksien lähde tähän mennessä. "Reflection-sovellusliittymä ei sovi hyvin Java-suojausmalleihin, ja jos sitä käytetään väärin, se voi helposti johtaa turvallisuusongelmiin."

Tämä uusi virhe on tyypillinen esimerkki Reflection API -heikkoudesta, Gowdiak sanoi. Tämä haavoittuvuus ei saisi olla Java 7 -koodissa vuoden kuluttua siitä, että Security Explorations on raportoinut Oracleille Reflection API: lle liittyvää yleistä tietoturvaongelmaa.