Disyorkan, 2019

Pilihan Editor

Oracle patch telah dieksploitasi Java cacat sehari hari, lebih 190 kelemahan lain

Teruskan dan kemas kini Java - atau nyahdayakannya jika anda tidak ingat kali terakhir anda menggunakannya di Web: Patch terbaru Oracle, dikeluarkan pada hari Selasa, perbaikan Selain itu, Oracle juga memperbaharui pelbagai produk lain, menetapkan sejumlah 193 kerentanan, 44 yang berasal dari komponen pihak ketiga.

Selain Java,

Produk yang disatukan termasuk Pangkalan Data Oracle, Oracle Fusion Middleware, Oracle Hyperion, Oracle Enterprise Manager, Oracle E-Business Suite, Oracle Supply Chain Suite, Oracle PeopleSoft Enterprise, Oracle Siebel CRM, Oracle Communications Applications, Oracle Java

Oracle mengeluarkan Java 8 Update 51, Java 7 Update 85 dan Java 6 Kemas kini 101. Walau bagaimanapun, hanya kemas kini Java 8 tersedia secara umum, kerana sokongan umum untuk Java 7 dan Java 6 berakhir beberapa waktu lalu. Hanya pelanggan dengan kontrak sokongan yang dilanjutkan terus mendapat akses ke patch keselamatan untuk versi tersebut.

Daripada 25 kelemahan yang ditetapkan di Jawa, 23 boleh dieksploitasi dari jauh tanpa pengesahan. Kesalahan enam belas hanya mempengaruhi penggunaan pelanggan dan lima mempengaruhi kedua-dua pelanggan dan penyebaran pelayan.

Satu penetapan khusus untuk platform Mac dan empat pembaikan adalah untuk Java Secure Socket Extension (JSSE), kata Eric Maurice, pengarah jaminan keselamatan perisian di Oracle, dalam postingan blog.

Kerentanan yang paling berisiko tinggi yang ditetapkan dalam kemas kini Java ini dikenali sebagai CVE-2015-2590 dan mempunyai status sifar hari sehingga kemas kini ini. Ini bermakna penyerang sudah mengeksploitasi ia tanpa menetapkan apa-apa.

Eksploitasi untuk kelemahan ini baru-baru ini ditemui oleh penyelidik dari serangan Trend Micro yang menyasarkan sekurang-kurangnya angkatan bersenjata negara NATO yang tidak bernama dan organisasi pertahanan AS .

Serangan telah dilancarkan oleh kumpulan cyberpresence yang dikenali sebagai Pawn Storm atau APT28 yang dipercayai mempunyai hubungan dengan perkhidmatan perisikan Rusia. Kumpulan ini telah aktif sejak 2007 dan biasanya menargetkan organisasi ketenteraan, kerajaan dan media.

Walaupun Java masih banyak digunakan untuk aplikasi berasaskan web dalam persekitaran perniagaan, ini jarang dilihat pada laman web berorientasi pengguna hari ini. Oleh itu, ramai pengguna tidak memerlukan pemalam penyemak imbas Java, yang merupakan sasaran majoriti eksploitasi Java.

Secara manual menghapus atau mematikan Java dari setiap penyemak imbas yang dipasang pada komputer mungkin, tetapi plug-in mungkin mendapat semula dengan kemas kini Java seterusnya. Dan menguninstall Java runtime sepenuhnya dari sistem sering tidak berdaya maju, karena masih ada aplikasi desktop yang populer yang membutuhkannya.

Untungnya, Oracle menambahkan pilihan di panel kontrol Java yang berfungsi sebagai tempat utama untuk menonaktifkan dukungan untuk Java kandungan berasaskan semua pelayar.

Bagi syarikat yang memerlukan sokongan Java di Web, mempertahankan terhadap eksploitasi sifar hari boleh sedikit lebih rumit.

Internet Explorer mempunyai ciri yang boleh digunakan oleh pentadbir untuk mengehadkan laman web mana yang dibenarkan untuk memuatkan kandungan Java, seperti hanya aplikasi hosting yang berkaitan. Dan pelayar seperti Mozilla Firefox dan Google Chrome mempunyai pilihan klik untuk main yang boleh digunakan untuk mencegah pelaksanaan automatik kandungan Java berasaskan Web.

Top