28.8.2012
Java 7:n paikkaamatonta haavoittuvuutta käytetään hyväksi
Java 7:n kaikki versiot sisältävät korjaamattoman haavoittuvuuden. Haavoittuvuutta tiedetään käytetyn hyväksi kohdistetuissa hyökkäyksissä. Koska korjausta ei ole, verkon käyttäjät voivat suojautua mahdollisilta drive-by haittaohjelmatartunnoilta esimerkiksi poistamalla Javan käytöstä selaimissaan.
Java 7:stä on löytynyt haavoittuvuus, joka koskee kaikkia Javan 7-versioita update 0:sta update 6:een. Haavoittuvuuden hyväksikäyttömenetelmän on todettu toimivan ainakin Windowsin eri versioihin, Linuxiin (Ubuntu 10.04) ja OS X:ään (10.7.4) asennetuissa Java 7:n versioissa. CERT-FI:n haavoittuvuustiedote 135/2012 käsittelee tätä haavoittuvuutta.
Haavoittuvuutta on verkosta saatavien tietojen mukaan käytetty hyväksi kohdistetuissa hyökkäyksissä. Sen lisäksi hyväksikäyttömenetelmä on lisätty MetaSploit-työkaluun, jota käytetään penetraatiotestauksissa. On myös oletettavaa, että internetissä toimivat rikolliset lisäävät hyväksikäyttömenetelmän omiin työkaluihinsa, kuten BlackHole Exploit kittiin.
Miksi kyse on niin vakavasta asiasta?
Java 7 on saatavilla useille käyttöjärjestelmille. Samaa paikkaamatonta haavoittuvuutta voidaan käyttää eri käyttöjärjestelmille tehtyjen exploittien, eli hyväksikäyttömenetelmien saamiseksi ajoon käyttäjien koneille. Eri käyttöjärjestelmät ja selaimet voidaan tunnistaa helposti selainten käyttämien user-agent -tunnisteiden perusteella. Tunnisteen perusteella exploit-kitit tarjoavat selaimelle käyttöjärjestelmää ja selainta vastaan tehtyjä exploitteja, jotka lataavat haittaohjelman käyttäjän koneelle. Javan paikkaamattomien versioiden avulla on levitetty muun muassa kiristyshaittaohjelmia ja pankkitroijalaisia.
Mitä voin tehdä?
Selaimiin on saatavilla lisäosia, kuten Firefoxin NoScript, jonka avulla skriptit ja erilaiset lisäosat eivät käynnisty automaattisesti verkkosivua avatessa. Javan ja selaimen lisäosien poistamiseksi käytöstä voit katsoa esimerkiksi CERT-FI:n Facebook-sivuilla julkaisemat ohjeet Chromelle ja Firefoxille (lukeminen ei vaadi kirjautumista). Internet Explorerin lisäosien hallintaan ohjeet löytyvät Microsoftilta.
Java 7:n paikkaamatonta haavoittuvuutta käytetään hyväksi
Java 7:n kaikki versiot sisältävät korjaamattoman haavoittuvuuden. Haavoittuvuutta tiedetään käytetyn hyväksi kohdistetuissa hyökkäyksissä. Koska korjausta ei ole, verkon käyttäjät voivat suojautua mahdollisilta drive-by haittaohjelmatartunnoilta esimerkiksi poistamalla Javan käytöstä selaimissaan.
Java 7:stä on löytynyt haavoittuvuus, joka koskee kaikkia Javan 7-versioita update 0:sta update 6:een. Haavoittuvuuden hyväksikäyttömenetelmän on todettu toimivan ainakin Windowsin eri versioihin, Linuxiin (Ubuntu 10.04) ja OS X:ään (10.7.4) asennetuissa Java 7:n versioissa. CERT-FI:n haavoittuvuustiedote 135/2012 käsittelee tätä haavoittuvuutta.
Haavoittuvuutta on verkosta saatavien tietojen mukaan käytetty hyväksi kohdistetuissa hyökkäyksissä. Sen lisäksi hyväksikäyttömenetelmä on lisätty MetaSploit-työkaluun, jota käytetään penetraatiotestauksissa. On myös oletettavaa, että internetissä toimivat rikolliset lisäävät hyväksikäyttömenetelmän omiin työkaluihinsa, kuten BlackHole Exploit kittiin.
Miksi kyse on niin vakavasta asiasta?
Java 7 on saatavilla useille käyttöjärjestelmille. Samaa paikkaamatonta haavoittuvuutta voidaan käyttää eri käyttöjärjestelmille tehtyjen exploittien, eli hyväksikäyttömenetelmien saamiseksi ajoon käyttäjien koneille. Eri käyttöjärjestelmät ja selaimet voidaan tunnistaa helposti selainten käyttämien user-agent -tunnisteiden perusteella. Tunnisteen perusteella exploit-kitit tarjoavat selaimelle käyttöjärjestelmää ja selainta vastaan tehtyjä exploitteja, jotka lataavat haittaohjelman käyttäjän koneelle. Javan paikkaamattomien versioiden avulla on levitetty muun muassa kiristyshaittaohjelmia ja pankkitroijalaisia.
Mitä voin tehdä?
Selaimiin on saatavilla lisäosia, kuten Firefoxin NoScript, jonka avulla skriptit ja erilaiset lisäosat eivät käynnisty automaattisesti verkkosivua avatessa. Javan ja selaimen lisäosien poistamiseksi käytöstä voit katsoa esimerkiksi CERT-FI:n Facebook-sivuilla julkaisemat ohjeet Chromelle ja Firefoxille (lukeminen ei vaadi kirjautumista). Internet Explorerin lisäosien hallintaan ohjeet löytyvät Microsoftilta.
Vastaukset
Vanhimmat
Ei vielä vastauksia
Aloittaja odottaa vastauksia. Kerro oma näkemyksesi ensimmäisenä.