Uusimmassa Javassa on paikkaamaton tietoturva-aukko johon on olemassa hyväksikäyttömenetelmät laajasti käytetyissä Exploit kiteissä joka tarkoittaa sitä että netissä on suuret määrät sivustoja jotka voivat tartuttaa haittaohjelmia koneisiin käyttäjän tietämättä asennetun Javan avulla.
Ars Technika kirjoittaa massiivisesta aukon hyödyntämisestä joten tähän kannattaa kiinnittää huomiota.
Cert kirjoittaa asiasta suomeksi:
http://www.cert.fi/tietoturvanyt/2013/01/ttn201301101629.html
Ars Technikan englanninkielinen juttu
http://arstechnica.com/security/2013/01/critical-java-zero-day-bug-is-being-massively-exploited-in-the-wild/
Suosittelisin TAAS ties kuinka monennen kerran: Java pois kokonaan koneelta jos sitä ei ihan välttämättä tarvitse.
PS Tämänkin haavoittuvuuden, niin kuin kaikkien muidenkin haavoittuvuuksien, hyväksikäyttöä rajoittaa tehokkaasti koneen käyttäminen normaalissa nettikäytössä tavallisen käyttäjän oikeuksin, ei järjestelmänvalvojana.
PPS Foxit readerissäkin on juuri nyt 0-päivän haavoittuvuus mutta sitä ei ilmeisesti vielä hyväksikäytetä.
Ars Technika kirjoittaa massiivisesta aukon hyödyntämisestä joten tähän kannattaa kiinnittää huomiota.
Cert kirjoittaa asiasta suomeksi:
http://www.cert.fi/tietoturvanyt/2013/01/ttn201301101629.html
Ars Technikan englanninkielinen juttu
http://arstechnica.com/security/2013/01/critical-java-zero-day-bug-is-being-massively-exploited-in-the-wild/
Suosittelisin TAAS ties kuinka monennen kerran: Java pois kokonaan koneelta jos sitä ei ihan välttämättä tarvitse.
PS Tämänkin haavoittuvuuden, niin kuin kaikkien muidenkin haavoittuvuuksien, hyväksikäyttöä rajoittaa tehokkaasti koneen käyttäminen normaalissa nettikäytössä tavallisen käyttäjän oikeuksin, ei järjestelmänvalvojana.
PPS Foxit readerissäkin on juuri nyt 0-päivän haavoittuvuus mutta sitä ei ilmeisesti vielä hyväksikäytetä.
Vastaukset 79
Vanhimmat
Tuli kahteen kertaan kun suomi24 jumii jatkuvasti.
Mitä tarkoittaa kun saa varoituksen:
Sivuston posti.suomi24.fi tietoturvavarmenne ei ole kelvollinen.
Varmenne on vanhentunut 13.1.2013 1:59. Päiväys ja aika nyt on 13.1.2013 16:20.
(Virhekoodi: sec_error_expired_certificate)
Varmenne juttu on aika monimutkainen:
http://fi.wikipedia.org/wiki/Digitaalinen_allekirjoitus
Mutta tuollaisista ei tarvitse tietää mitään. Riittää kun tietää "Varmenne on vanhentunut "
Riittääkö, että Javalle laittaa disable Firefoxin Plugineista?
Riittää. Uusimmassa Javassa on myös mahdollisuus poistaa java liitännäinen käytöstä kaikista selaimista joten nyt Java pluginin saa helposti pois käytöstä myös IE:ssä.
Ilmeisesti tämän toimenpitee voi suorittaa kun ottaa ruksin pois tuolta, vai?
http://aijaa.com/poHHSf
Kyllä, juuri noin!
missä tuo java control panel on?
Löytyy Ohjauspaneelista.
Jos sinulla ei ole Javaa pikakuvakkeella etsi java ohjauspaneelista ja tuplaklikkaa Javaa. Sieltä sitten security kohta.
Ok kiitos.
Mahtaako riittää, jos ottaa Java Control paneelista, Security välilehdeltä ruksin pois. Olis helpompi ottaa tarvittaessa käyttöön, jos FF:n ja IE:n lisäosat sais olla käytössä, ikäänkuin valmiudessa. Käyttöönottaessa tarvitsisi vain lisätä ruksi Java Control paneeliin
Ruksin poisto Control paneelista näkyy poistavan selaimen lisäosat.
Riittääkö?
Tällöinhän IE käyttää vielä Javaa, vaikka itse et IE:tä käytä niin jokin ohjelma sitä voi käyttää. Sen takia IE:stä maksimi suojaukset, jolloin Java ei toimi IE:ssä.
Tämän ruksin http://aijaa.com/poHHSf poistaminen poistaa Javan myös IE:ssä.
Ei tarvitse säätää mitään muuta tuon ruksin lisäksi.
Kerro Javasta myös DanskeBank:ille.
Kerro tietokoneen käyttäjille, ettei konetta saa käyttää pääkäyttäjän oikeuksilla.
Nimenomaan näin. Se on AINOA TEHOKAS keino rajoittaa tämänkin haavoittuvuuden hyväksikäyttömahdollisuuksia.
En olekaan roottina.
En minäkään, mutta kodin pöytätietokoneen käyttäjistä useampi kuin kahdeksan kymmenestä on Windowsin pääkäyttäjä, eikä meno muuksi muutu ellei Microsoft tee "helppokäyttöisen" käyttöjärjestelmänsä suhteen täysremonttia.
Miksköhän mulla tulee tuossa security kohdassa lukee vaan jotain sertifikaatia, poistin sen chromen lisäosista riittääköhän se?
Jos poistit Javan Chromen lisäosista niin se riittää ellet käytä jotakin toista selainta.
Ok.Kiitos.
Toinen tehokas keino on olla menemättä nettiin, joten ei se ole AINOA tehokas keino. Menee sitten älyluurilla nettiin ja hoitaa siellä pankkiasiat ja pornon lataamisen koneelle. AINOA JÄRKEVÄ keino tosin, mutta siitä ei ollutkaan kyse.
Ja kerrotaan vielä, että Java 6 tuki loppuu ensi kuussa joten silloin se kannattaa joko poistaa tai vaihtaa Java 7 versioon.
Mutta Java kannattaa tosiaan kokonaan poistaa, jos ei sitä tarvitse.
Java on itsessään yksi ongelma, jos vaan pärjää ilman niin välitön poisto.
http://icecoldblogfinland.blogspot.fi/
Katselimpa koneelta että pitäisiköhän tämä Java poistaa, mutta olin poistanut sen edellisen Java hässäkän aikaan, lienekkö tarpeellinen koko Java.
Kannattaa poistaa mikäli et käytä esim esim Danskebank sivua tai joitain Javapeli sivuja.
Täällä on vielä 1 suomenkielinen juttu tästä asiasta:
http://www.digitoday.fi/tietoturva/2013/01/10/vielako-kaytat-javaa-harkitse-vakavasti-poistamista/2013563/66
Hyvä vinkki jos kuitenkin pakosta tarvitsee Javaa
http://keskustelu.suomi24.fi/node/11183714/#comment-59347694
Ruksi pois aina kun ei tarvitse javaa niin kuin nim. jhhjhjjjjhjjh jo neuvoi.
"Hyvä vinkki jos kuitenkin pakosta tarvitsee Javaa
http://keskustelu.suomi24.fi/node/11183714/#comment-59347694
Ruksi pois aina kun ei tarvitse javaa niin kuin nim. jhhjhjjjjhjjh jo neuvoi."
Kannattaa myös muistaa käynistää selain uudestaan, sillä Java voi olla yhä selaimessa toiminnassa.
nimimerkkini on jhhjhjjjjhjjh
Javaa eikä tule.
Tällainen juttu vielä lisää tämän Java haavoittuvuuteen puuttumisen tärkeyttä.
http://bit.ly/WxlVcJ tarkoittaa sitä että haittaohjelmien levittäjillä on nyt käytössään normaalia enemmän sivustoja jotka voi korkata ja joihin voi upottaa java hyökkäyksen.
Foxit readerinkin 0-päivän aukkoa kannattaisi seurata tai vaihtaa pdf lukijaa, mutta Java aukon hyväksikäyttämisen estäminen on kyllä kertaluokkaa tärkeämpää.
Secunian mukaan Foxitin haavoittuvuus on npFoxitReaderPlugin.dll tiedostossa. Koskeeko tuo reikä siis vain niitä, jotka ovat tuon lisäosan Foxitiin ladanneet (saatavissa kai vain IE/Firefox-selaimiin)?
"The vulnerability is caused due to a boundary error in the Foxit Reader plugin for browsers (npFoxitReaderPlugin.dll) when processing a URL and can be exploited to cause a stack-based buffer overflow via e.g. an overly long file name in the URL."
FoxitReaderin ohjekirjasta:
Firefox Plugins
Foxit Firefox Plugin installs a
simple Foxit Reader into the
Firefox web browser, this free
add-on allows users to display,
view, edit and print PDF
documents in the browser.
212 KB
Download
Free
Minulla ei tuollaista plugin-tiedostoa koneelta kyllä löydy. Käytän Opera selainta ja (netin) pdf-tiedostolinkin klikkaus avaa ko. pdf-tiedostot suoraan Foxitiin, jossa ruksattuna "safe mode reading" ja javascriptien suoritus evätty.
Joo, noin on asia. Itse pdf lukija on ok, bugi koskee vain liitännäistä.
Täälläkin on helpohko ohje miten haavoittuvuuden hyväksikäytön voi estää. Esimerkkinä Firefox plugin
http://bit.ly/XVSjMJ
Tuohon ei taida olla vielä hyökkäystäkään olemassa joten voi olla että Foxit kerkiää paikkaamankin tuon ennen kuin sitä aletaan hyväksikäyttää.
Onko mitään haittaa jos java on eikä käytä mitään ohjelmaa mihin javaa tarvitaan. ?
Jos Java on käytössä selaimessa (Plugin) niin kone on vaarassa.
Haittaohjelmasivusto käynnistää sen Javan automaattisesti jollei sitä ole jotenkin erikseen estetty tai Javaa ei ole poistettu kokonaan.
Tästä ruksin pois ottaminen http://aijaa.com/poHHSf estää Javan toiminnan kaikissa selaimissa, myös IE:ssä. Ominaisuus löytyy vain viimeisestä Java versiosta 7 update 10
Mistä toi ruksi löytyy xp:ssä kun klikkaa tota securityä ei kyllä tule tollasta. Tuolla joku muukin kysyi samaa.
Se ruksi löytyy vain Javan viimeisimmästä versiosta, 7 update 10. Jos sinulla on joku vanhempi Java niin se olisi pitänyt poistaa jo paljon aikaisemmin joten poista se vanha Java kokonaan ja jos tarvitset Javaa niin asenna se uusin 7 update 10 niin ruksikin löytyy. Käyttöjärjestelmällä ei ole merkitystä tähän asiaan.
Tuolta saat sen uusimman Javan
http://www.java.com/en/
Kehotetaan poistaan ja poistaan, missään ei snota miten se poistetaan.
Suomenkieliset ohjeet:
http://support.microsoft.com/kb/307895/fi
Menin ohjauspaneeliin ja siitä klikkasin javan hiiren oikeella ja poistin. Lähtikö kokonaan pois?
Lähti jos ohjauspaneelissa ei ole enää Java versioita.
Eikös noi yleensä pidä poistaa "lisää poista sovellus"(xp) tai "ohjelmat ja toiminnot"(win7) kautta?.
Kyllä.
1) "Kun korjausta ei ole saatavilla, riskistä pääsee eroon poistamalla Javan nettiselaimista. Toinen vaihtoehto on käyttää Firefoxin NoScript-ohjelman tapaisia laajennuksia, jotka estävät Javan käytön muilla kuin etukäteen määritellyillä sivustoilla (esimerkiksi nettipankissa)."
- http://www.tietokone.fi/uutiset/javan_paha_ongelma_uhkaa_miljardia_konetta
2) Mitä on tuo puhe selaimen java-plugista. Onko se vielä erikseen koneelle Oraclen sivulta asennetusta Javasta?
3) Rajoitetun käyttäjätilin käyttö. Mites on, koskeeko se edelleen myös W7:aa?
Vaikka W7:ssa onkin se käytetystä tilistä riippumatta oleva ihan hyvä ja toistuva admin lupien kysyntä, kun koneella jotakin asentaa, niin eikös tehdaskoneen pakkauksesta ottaessa ole kuitenkin oletuksellisesti admin tili käytössä?
Jos nyt oikein muistan, niin W7:ssakin se ainoa oletuksellisesti valmiina oleva tili tuli merkitä niin, että sen tunnistaa admin tiliksi ja luoda rinnalle rajoitettu tili tai tarvittaessa useampi.
Ps. Itsellä on yksi rajoitettu tili vain pankkiasioita varten. Kun poitun, niin pyhn kaiken historikin ja keksit pois, sillä Firefox poistaa myös kaikki lomaketiedot.
Toisella rajoitetulla tilillä sitten käytän nettiä päivitäin ja haluan Foxin säilyttävän lomaketiedot / hakupalkin haut, vaikka niitä ajoittain siivoankin ja poistan historiikin ilman lomaketietojen tyhjennystä.
1) Javan poisto kokonaan tai selain pluginin toiminnan estäminen selaimessa lienee vaivattomampaa kuin säätää sivukohtaisesti jotain noscriptiä.
2) Java pluginit asentuvat selaimiin samalla kun Java asennetaan.
3) Kyllä koskee! Windows 7:n UAC on oletusasetuksilla turvaton ja on muutenkin PALJON toimivampi ratkaisu tehdä erillinen tavallisen käyttäjän oikeuksin varustettu käyttäjätili ja käyttää sitä jokapäiväisessä käytössä.
Minulla on myös 3 käyttäjätiliä. JV, Oma tavallinen ja vieraille tavallinen tili.
Minusta tässä kaden selaimen systeemissä on järkeä.
http://www.tietokone.fi/uutiset/poista_java_hyokkaykset_kaynnissa_netissa
1) Tottumus- ja käyttötarvekysymyksiä. Foxin NoScript on nopea ja simppelikäyttää. Oletuksellisesti pidän sen aina aktivoituna, eli scripti blokattuna ja sitten vain tarpeen tulle sen hyväksyn vaihtoehtona "tilapäisesti" ja siltikin vielä sitä travitsevalta sivulta poistuessani blokkaan sne udestaan.
2) Java pluginit asentuvat selaimiin samalla kun Java asennetaan
Jos vaaralliset Java-blugit asentuvat selaimiin automaattisesti Oraclen Javaa asentaessa, niin miten tuo artikkelin neuvo kahden eri selaimen käytöstä silloin on toimiva? Toisessa Java ja toisessa ei.
- http://www.tietokone.fi/uutiset/poista_java_hyokkaykset_kaynnissa_netissa
3) Jos joku "sekoittaa" luodut käyttäjtilit nimeten ne uudestaan, niin mistä tunnistaa mikä niistä on se admin ominaisuuksilla oleva?
2.Java plugin asentuu selaimeen Javan mukana, jotta selain voisi näyttää Javalla tehtyjä sivuja/pelejä.
3. Koskee Windows 7. Normaali käyttäjätiliä on turvallisempaa käyttää kuin JV tiliä.
Haavoittuvuutta voidaan käyttää hyväksi Windows-tietokoneiden lisäksi myös Mac OS X- ja Linux-käyttöjärjestelmää käyttävissä tietokoneissa. Toistaiseksi ei kuitenkaan ole vahvistettuja havaintoja muista kuin Windows-versioon kohdistuneista hyväksikäyttöyrityksistä.
Eli ei uppoa muihin käyttöjärjestelmiin, kuin windowssiin.
Tottakai se uppoaa jos haavoittuvuus on olemassa. Se on toinen asia onko haavoittuvuuden avulla levitetty muissa käyttöjärjestelmissä toimivia haittaohjelmia.
Haavoittovuus olemassa, mutta ei toimi muissa kuin windowsissa.
Kyllä se haavoittuvuus toimii niissä ympäristöissä joissa sen on todettu toimivan.
Eli windowssissa.
Myönnä nyt vaan..
Äläkä saivartele.
Hihhulihan se siinä. Heti tuli paikalle, kun vähänkin pystyy propagandaa tekemään!
Mutta turha toivo. Ei sitä sinun linuks-kurttaustasi kukaan enää asentele.
http://www.statowl.com/operating_system_market_share.php
No pidäppä java päällä wirusimurissa ja nauti.....
Niin minäkin ja järjestelmä toimii edelleen....
Virusvapaassa käyttöjärjestelmässä....
Onneksi on vaihto-ehtoja....
Pelottaako pankkiasioiden hoito winukalla....?
Haittojen levittäjätkin osaavat ajatella. Puputtia ja vastaavia kun ei käytä kuin yksi sadasta, eli poikkeavuuteen ei kannata satsata.
Kaikki turha roska kannattaa ottaa pois..
Sellainen huomio kyllä, että tämä haavoittuvuus näyttää koskevan vain selainlaajennosta. Selaimessa Javan käyttäminen on järjetöntä, mutta Javalla on tehty valtavasti ohjelmia ja niiden käyttämiseen sitä tietystikin tarvitsee.
En välitä koko asiasta tippaakaan, kun hyökkäysyrityksiäkään ei ole kuin Windowseihin.
Ne itsessään ovat tietoturvauhka.
Nyt löytyi oikean näköinen Java kun poistin vanhan, ja asensin uuden, sain ruksista jopa poiskin sen päältä.
Tulee taas kiva viikonloppu Danske Bankin asiakkaille, sillä sen verkkopankki ei suostu käynnistämään Java 7:ää ja sen jälkeen turvaohjelmaa - ts. verkkopankkiin ei nyt sitten mennä... on myös mahdoton tsekata käytössä olevia palveluitaan (esim. sähköinen terveyskansio), koska kansioon pääsee verkkopankkitunnistuksella (tai mobiilivarmenteella, jota minulla ei ole, pitää kai hankkia).
Kokeilin kolmella selaimella, ja koska sama Javan versio on julistettu haavoittuvaksi, Danske Bankin verkkopankkiin ei sillä pääse. Ilmoittaa, että "ei ole Javaa", tarkoittaa tietysti että ei ole turvallista Javaa. Ja Foxin lisäosissa haavoittunut versio on oikein merkitty turvattomaksi. Ekalla kerralla kun yritin DB:n verkkopankkiin Foxilla, tuli ilmoitus, että Java-lisäosa on otettu pois käytöstä ja sen pystyi kyllä ottamaan käyttöön, mutta turvaohjelman lataamiseen ei päässyt, koska DB:n oma systeemi estää turvattoman Javan käytön. Kai on sitten uskottava, eikä mulla kovin kiire ole päästä verkkopankkiin tms. palveluihin, mutta mitenkähän on perheellisillä, jotka makselee viikonloppuna laskujaan. En muuten tarvitsisi Javaa kuin vain DB:n verkkopankissa tai käyttäessäni verkkopankkitunnistusta.
Tuon Java-ongelman voi kätevästi kiertää käyttäen tätä Danske Bankin miniverkkopankkia, joka ei käytä Javaa. Kävin juuri maksamassa yhden laskun ja kaikki toimi ongelmitta normaalia avainkorttia käyttäen:
http://www.danskebank.fi/fi-fi/henkiloasiakkaat/mobiilipalvelut/pages/miniverkkopankki.aspx
Ei koske Linux-käyttäjiä sillä Linux-puolella käytetään IcedTea Java-pluginia selain liitännäisenä.
Java-ongelmat liittyvät pc-puolelle juuri Windows-koneisiin.
Jos ei oo oikeen hajuakaan onko se koneella vai eikö. niin tossa linkki.
https://www.java.com/en/download/installed.jsp
Verfiy-nappia ku painaa ni selviää.
Jos ei oo niin lukee "No working Java was detected on your system"
Surkuhupaisaa; F-securen Online scanner vaatii toimiakseen Javan. Ilmankos F-securen ajankohtaista -sivulla ollaan hiljaa Java -haavoittuvuudesta, kun taitavat olla itsekin sormi suussa tuon Online-scanner Java -litännäisen suhteen?
Entäs tämä: Uskaltaako tänäänkirjautua Suomi24:ään: http://keskustelu.suomi24.fi/node/11189310
Uskaltaa. Taitaa olla vain vanhentunut varmenne niin kuin selain väittää.
Kiitos vastauksesta. Tämän Java -havoittuvuuden takia sitä alkaa reakoimaan herkemmin kaikkiin muihinkin tietoturvavaroituksiin.
Mielenkiintoista.
Asensin Firefoxsiin tuon NoScript lisäosan.
Näenkö nyt sitten tuolta oikeasta alakulmasta, asetukset kohdasta kaikki sivut jotka yrittävät tunkea koneelleni?
Siellä nimittäin näkyy ihme osoitteita, mm mywont.com, emediate.se, ytinmg.com.
Ei ole mitään hajua, mitä nuo ovat. Enkä ole tietääkseni käynyt ko. sivuilla.
.. korjaus tuohon viimeiseen ihmeosoitteeseen. Se on ytimg.com
Mainospalvelimia. Näyttävät suomi24:n mainoksia.
Kiitos!
Mites kun Aapelin pelit vaatii javaa? Panenko mukulan pelaamaan puupalikkapelejä?
Miten olisi Cert.fi:n kahden selaimen taktiikka.
Tee mukulalle oma tavallisen käyttäjän oikeuksin varustettu käyttäjätili jollei ole jo ja ota siellä java käyttöön selaimessa.
IE on hankalmpi tässä kohtaa, sen kanssa joutuu ottamaan javan pois käytöstä näin joka kerta erikseen.
http://aijaa.com/poHHSf
IE:tä ei ole käytetty vuosikausiin, mozilla käytössä.
No sittenhän onnistuu hyvin. Mozillasta, nykyään Seamonkey, saa Javan helposti pois / käyttäjä eli Java lisäosan käyttöasetus on käyttäjätilikohtainen.
http://yle.fi/uutiset/javassa_haavoittuvuus_jota_ei_voi_korjata_-_viestintavirasto_poista_selaimesta_jos_et_tarvitse/6521486
Eipä tuo miksikään muutu, turha odotella.