image

94% Java-gebruikers kwetsbaar voor malware

dinsdag 26 maart 2013, 09:44 door Redactie, 9 reacties

Het is niet verwonderlijk dat Java het favoriete doelwit van cybercriminelen is, veruit de meeste gebruikers gebruiken namelijk een onveilige versie. Uit eerdere onderzoeken was al bekend dat Java-gebruikers traag zijn met het installeren van updates, maar de meest recente cijfers laten een nog schokkender beeld zien. 94% van de Java-gebruikers mist minimaal de laatste beveiligingsupdate.

Meer dan de helft van de browsers met de Java plug-in loopt zelfs twee jaar achter. Dat blijkt uit onderzoek van Websense, dat miljoenen computers analyseerde. Inmiddels is er de Cool exploit-kit die lekken in Java 7 Update 15 en Java 6 Update 41 misbruikt.

Het bezoeken van een kwaadaardige of gehackte website waar deze exploit-kit draait is voldoende om besmet te raken als er een onveilige Java-versie wordt gebruikt. De meest recente Java-versie is Java 7 Update 17, die is door slechts 5,2% van de Java-gebruikers is geïnstalleerd.

Verouderd
Een ander bekend Java-lek is 'CVE-2012-0507', aanwezig in Java 7 Update 2 en Java 6 Update 30. Dit lek werd in februari 2012 door Oracle gepatcht. Toch heeft 59,5% van de Java-gebruikers deze update niet geïnstalleerd en loopt dus groot risico. 75% van de gebruikers gebruikt een Java-versie die tenminste 6 maanden oud is. Bijna tweederde loopt een jaar achter en meer dan de helft zelfs twee jaar.

Verder blijkt dat 21% nog steeds Java 6 gebruikt, een versie die niet meer door Oracle met beveiligingsupdates wordt ondersteund. "Het is duidelijk dat niet alleen de zero-day-aanvallen alle aandacht horen te krijgen", zegt analist Charles Renert.

Reacties (9)
26-03-2013, 09:50 door Preddie
Is er geen duidelijkere afbeelding beschikbaar? Ik heb mijn loep namelijk niet bij de hand .... :/
26-03-2013, 10:25 door [Account Verwijderd]
[Verwijderd]
26-03-2013, 10:32 door [Account Verwijderd]
[Verwijderd]
26-03-2013, 10:38 door Preddie

Thx voor de link ! +1 ;)
26-03-2013, 10:47 door Spiff has left the building
Door Kourtisanne Xbox-driver:
en als ik mensen wil helpe, waarom krijg ik dan een -1?
Dat is inmiddels al weer gecorrigeerd, zoals je ziet.
Geen idee waarom je een -1 rating kreeg.
Misschien omdat je taalgebruik wat begint te ergeren?
Je laat in vrijwel al je bijdragen de -n weg, en schrijft klikke, helpe, blokkere, helpe, geleze, etc, en ook schrijf je 'me' waar je m'n/mijn bedoelt.
Is dat een soort gimmick, een uiting van je persoonlijke stijl, of is het slordigheid?
Als je het als je persoonlijke stijl beschouwt - het is maar héél even leuk, daarna gaat het ergeren.
26-03-2013, 11:16 door Spiff has left the building
Door Kourtisanne Xbox-driver:
dan op afbeelding klikke. word ie groter.
Door Predjuh:
Thx voor de link
Die vergrootbare afbeelding vond je uiteraard ook door het bron-artikel te bekijken, te bereiken via de link die de redactie aanbood in het Security.nl artikel. Bijna altijd waardevol om even naar de bron te kijken ;-)
26-03-2013, 12:01 door Anoniem
"94% van de Java-gebruikers mist minimaal de laatste beveiligingsupdate. "

En de resterende 6% zal kwestbaar zijn voor vulnerabilities welke nog niet openbaar zijn, en waar nog geen patch voor is ontwikkeld. De laatste patch installeren wil immers helemaal niet zeggen dat je ''onkwetsbaar'' bent.
26-03-2013, 13:28 door Anoniem
Er blijft nog steeds een groot verschil tussen Java en Javascript dacht ik.
Het eerste, wie zet dat nog op zijn PC?
Ik schakel die rommel meestal uit.
26-03-2013, 15:25 door Anoniem
Meer dan de helft van de browsers met de Java plug-in loopt zelfs twee jaar achter. Dat blijkt uit onderzoek van Websense, dat miljoenen computers analyseerde.

Krijg de indruk dat die suggestie niet klopt , wat wordt hier exact bedoeld?

- browser versies lopen achter?
- java (plugin?) versies lopen achter
- browser èn java versies lopen achter

De tabel laat gedetecteerde Java versies zien.
Geen informatie over daarbij gedetecteerde browserversies en of de java plugins in de browsers al of niet aanwezig danwel geactiveerd waren.
(mogelijk verwarrend is het bijschrift "Figure 1: Global distribution of Java Runtime Environment versions based on active browser usage" , onderzoek gebaseerd op actieve browsers, anders ook niet detecteerbaar).

Met een javascript-je kan de aanwezige java versie op een systeem gedetecteerd worden los van een wèl of niet ingeschakelde browser plugin. Informatie zegt dus weinig (niets?) over browserversies, actieve java-browser plugins.

Blijft over de analyse van gedetecteerde java versies op systemen; die misschien wel aanwezig waren maar niet geactiveerd (en daarom ook niet meer geüpdatet?).

Een onderzoek met een combi van gedetecteerde java versies, browserversies, systeemversies en wel/niet geactiveerde plugins zou interessanter zijn geweest.
Daarmee kom je (lijkt me) meer in de buurt van relevante aantallen kwetsbare (te misbruiken) systemen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.