Mac en Linux ook kwetsbaar voor Java zero-day
Het nieuwe beveiligingslek in Java is niet alleen een probleem voor Windows-gebruikers, ook Mac en Linux zijn kwetsbaar. David Maynor van Errata Security onderzocht de exploit en testte die op verschillende configuraties. Zowel op Windows als op Linux en Mac werkt de exploit perfect. De enige vereiste is wel dat gebruikers JRE 1.7 draaien (Java 7 Update 6, de meest recente versie) aangezien de kwetsbaarheid niet in JRE 1.6 en oudere versies aanwezig lijkt.
Maynor gebruikte ook twee virusscanners van Symantec en McAfee, maar die stopten de aanval niet. "Dit is een perfecte exploit voor phishing of om sociale mediagebruikers mee aan te vallen." Ook stelt de onderzoeker dat de aanval, in tegenstelling tot eerdere berichten, wel op Chrome werkt.
Blokkeren
Chris Evans van het Chrome Security Team laat via Twitter weten dat Chrome al vanaf versie 11 standaard Java blokkeert en gebruikers dit per website moeten inschakelen.
"Dit is een zeer goede exploit waarvan ik verwacht dat die veel gebruikt gaat worden", merkt Maynor op. Begin dit jaar raakten zo'n 700.000 Macs via verschillende Java-lekken met de Flashback Trojan besmet. Beveiligingsbedrijf Intego adviseert Mac-gebruikers om Java uit te schakelen.
>>De enige vereiste is wel dat gebruikers JRE 1.7 draaien (Java 7 Update 6, de meest recente versie) aangezien de kwetsbaarheid niet in JRE 1.6 en oudere versies aanwezig lijkt.<<
Dit is mijn niet helemaal duidelijk hoor.
Java wordt niet standaard meegeleverd met Lion / Mountain Lion (plm 40%), dat moet je zelf installeren (bijv om open-office te gebruiken) en dat is vast geen hoog percentage binnen deze 40 pct. (cijfers?..)
De overige 60 pct loopt deze keer geen risico, met het dit keer fijne voordeel dat ze niet up to date zijn, als ze al niet java hadden uitgezet.
Oud en goed advies weer even afgestoft ,
twijfelachtig of het het succes van flashback ook maar kan benaderen.
java -version
java version "1.6.0_33"
Java(TM) SE Runtime Environment (build 1.6.0_33-b03-424-10M3720)
Java HotSpot(TM) 64-Bit Server VM (build 20.8-b03-424, mixed mode)
Maakt dat wat voor java uit ?
Of is daar geen verschil in , want voor internetbankieren ben je java toch al gauw nodig .
Dat wil ik graag even weten,want dit hebben ze met het onderzoek geloof ik niet meegenomen.
Also, is dit niet een exploit voor specifiek oracle java? of heeft icedtea/openjdk/ibm java er ook last van?
Zelfs indien je java volledig van de machine verwijderd, kun je sites met javascript gewoon met alle functionaliteit bekijken. Noscript gebruiken werkt alleen wanneer je in noscript onder "opties" tabblad "embeddings" een vinkje zet bij "forbid java" (bij voorkeur ook bij flash, silverlight en "other plugins").
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
