安全研究人員警告稱，甲骨文在2013年發(fā)布的一個(gè)關(guān)鍵 Java 漏洞更新是無效的，黑客可以輕松繞過。這使得此漏洞可以被再度利用，攻擊運(yùn)行最新版本 Java 的個(gè)人計(jì)算機(jī)及服務(wù)器。
該漏洞在通用漏洞及披露數(shù)據(jù)庫中的代碼為 CVE-2013-5838 ，甲骨文在通用漏洞評(píng)分系統(tǒng)上給其打出過 9.3/10 的高分。 該漏洞可被遠(yuǎn)程利用，不需要授權(quán)驗(yàn)證即可完全入侵系統(tǒng)，損害其機(jī)密性、完整性、可用性。
波蘭公司 Security Explorations 的研究人員最早向甲骨文上報(bào)了該漏洞。他們表示，攻擊者可以利用它從 Java 安全沙盒中逃逸。通常情況下，Java運(yùn)行時(shí)間環(huán)境(JRE)在虛擬機(jī)中運(yùn)行 Java 代碼。
Security Explorations 公司首席執(zhí)行官亞當(dāng)·高迪亞克(Adam Gowdiak)在發(fā)給 Full Disclousure 安全郵件列表的信中稱，僅僅更改2013年概念驗(yàn)證攻擊代碼中的四個(gè)字符，就可以繞過該補(bǔ)丁。高迪亞克的公司已經(jīng)就這種攻擊方式發(fā)表了一篇新的技術(shù)報(bào)告， 并表示他們已經(jīng)在最新版本的 Java SE 7 Update 97 、 Java SE 8 Update 74 、 Java SE 9 Early Access Build 108 上測(cè)試了這種新的利用方法。
甲骨文在2013年10月最初公布的公告中稱 CVE-2013-5838 僅影響 Java 的客戶端，可以通過“Java Web Start 應(yīng)用沙盒和 Java 小程序沙盒”進(jìn)行利用。但Security Explorations 公司表示，這種說法是錯(cuò)誤的。
高迪亞克在發(fā)給 Full Disclosure 的信中提到，“經(jīng)過驗(yàn)證，我們發(fā)現(xiàn)該漏洞還可被用于入侵服務(wù)器環(huán)境和 Java 下的 Google App Engine。”
在客戶端，Java 的默認(rèn)安全級(jí)別，僅允許有簽名的 Java 小程序運(yùn)行，而且它的點(diǎn)擊后播放還可以作為防御手段。這些安全限制可以防止自動(dòng)化的靜默攻擊。
如果攻擊者想在最新的 Java 實(shí)例上利用這一漏洞，他們需要找到另外一個(gè)可幫助繞過安全提示的漏洞，或者說服用戶在運(yùn)行惡意 Java 小程序時(shí)點(diǎn)擊允許。他們更有可能采取后一種策略。
在公開披露之前，Security Explorations 公司還未就 CVE-2013-5838 的這一最新問題通知甲骨文。高迪亞克表示，他公司的新政策是，對(duì)于已經(jīng)上報(bào)給廠商的漏洞補(bǔ)丁，如果有問題會(huì)立即公告大眾。
我們以后不會(huì)容忍有問題的補(bǔ)丁。
目前尚不清楚甲骨文是否會(huì)對(duì)這一漏洞發(fā)布緊急 Java 更新，還是會(huì)與預(yù)計(jì)于4月19日發(fā)布的第二季度關(guān)鍵漏洞更新一同發(fā)布。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。