Oracle dicht 42 Java-lekken en Pwn2Own-exploits
Oracle heeft zoals maandag aangekondigd belangrijke beveiligingsupdates voor Java uitgebracht die in totaal 42 lekken verhelpen. Onder de verholpen kwetsbaarheden bevinden zich ook vier lekken die tijdens de Pwn2Own-hackerwedstrijd werden ontdekt. De wedstrijd stond in het teken van de veiligheid van browsers en plug-ins, waarbij Java als enige meerdere keren werd gehackt.
In totaal sneuvelde Java door toedoen van verschillende beveiligingsonderzoekers vier keer. Van de 42 kwetsbaarheden zijn er 39 zo ernstig dat een aanvaller het systeem kan overnemen als de gebruiker een gehackte of kwaadaardige website bezoekt.
Update
De problemen zijn ook aanwezig in Java 5 en Java 6, die oorspronkelijk niet meer door Oracle ondersteund worden. In februari verscheen er echter een noodpatch voor Java 6 en ook nu is er een update voor Java 6 verschenen. Toch krijgen gebruikers het advies om naar Java 7 te upgraden.
De nieuwste versies van Java beschikken over een updater die voor nieuwe versies waarschuwt, maar voor wie daar niet op wil wachten is de update ook via Java.com te downloaden.
Ik vrees dat veel ontwikkelaars dat niet goed voor elkaar hebben. Waarschijnlijk zal er veel signed malware met gestolen credentials verschijnen, hetgeen het hele publieke PKI systeem verder ondermijnt.
42 lekken gedicht! Wow! Oracle is goed bezig!
Mijn stelling is dat als je in 2 maanden 42 lekken kunt vinden, en dit kunstje al een aantal malen hebt kunnen herhalen, er nog een veelvoud van dat aantal aanwezig moet zijn.
("als je veel bugs vindt dan is de dichtheid groot")
42 lekken gedicht! Wow! Oracle is goed bezig!
("als je veel bugs vindt dan is de dichtheid groot")
- de populariteit van Java, waardoor het voor cybercriminelen interessant is om zich op te concentreren;
- de grootte en complexiteit, waardoor je allicht wel ergens in een hoekje een bug zal vinden (dat geldt voor elk stuk grote en complexe software).
Pas als er een keer een update verschijnt die 1 lek fixt en er geen bekende lekken meer zijn ga je in die buurt komen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
