"Meeste Java-gebruikers negeren noodpatch"
Oracle mag dan een noodpatch voor een ernstig lek in Java hebben uitgebracht, het kan nog wel even duren voordat gebruikers de update ook daadwerkelijk installeren. Dat zegt H.D. Moore, ontwikkelaar van de bekende hackertoolkit Metasploit. Daarnaast is het goed mogelijk dat er nog andere lekken zijn waardoor aanvallers de patch kunnen omzeilen.
"De eenvoudig te misbruiken gevallen lijken te zijn opgelost", zo laat hij tegenover Forbes weten. "Maar er zijn mogelijk andere manieren om dezelfde code aan te roepen. Het vereist mogelijk wat graafwerk om een andere variant te vinden."
Patch
En zelfs als de patch alle problemen verhelpt, kan het nog maanden duren voordat gebruikers die installeren. De meeste gebruikers updaten Java niet meteen zodra er een patch verschijnt. Uit eerder onderzoek van Rapid7, het bedrijf waarvoor Moore werkt, blijkt dat 60% van de Java-installaties nooit up-to-date is.
De eerste maand na het verschijnen van een Java-patch blijkt dat minder dan 10% van de gebruikers die installeert. Na twee maanden heeft ongeveer 20% de update uitgerold. Na drie maanden loopt het percentage op tot 30%. Het hoogste percentage van gepatchte installaties dat Rapid7 waarnam betrof 38%.
Exploit
Wat betreft het toevoegen van de exploit aan Metasploit is dit volgens ontwikkelaar Tod Beardsley erg belangrijk. De aankondiging van FireEye noemt hij erg 'cryptisch', waardoor belangrijke details achterbleven.
Door eigen onderzoek werd de exploit uiteindelijk toch gevonden en verder als Metasploit module uitgewerkt. "Deze ervaring bevestigt dat open en publieke exploits elke keer weer geheime en private warezkits verslaan", merkt Beardsley op. "Vandaag weten we allemaal van het probleem en kunnen we aan een oplossing werken."
Oracle
Hoewel Oracle het probleem nu heeft gepatcht, krijgt het bedrijf veel kritiek omdat het gebruikers niet goed voorlicht over de ernst van de situatie. "Er is nergens een waarschuwing op de website dat het een belangrijke beveiligingsupdate is", zegt beveiligingsonderzoekster Melissa Elliott van Veracode op Twitter.
"Aan de Oracle engineers die de afgelopen nachten doortrokken: bedankt. Aan Oracle PR: jullie zijn verschrikkelijke mensen die het verdienen om te lijden."
Wat een haat om een stuk software dat je niet eens geïnstalleerd moet hebben.
We zijn hier allemaal erg bij gebaat :-( maar niet heus.
Waarom is het noodzaklijk om deze aanvals methodieken op te nemen ? Kan me voorstellen dat dit over een tijd gebeurt zodat bedrijven kunnen controleren of ze kwetsbaar zijn, maar dit helpt crimenelen toch duidelijk een eind op weg.
(Ik ben trouwens niet voor verbieden, maar wel voor even nadenken .....)
Of je hebt een systeem beheerder die patches zonder goedkeuring en testen vrijgeeft en er daarna achterkomt dat een aantal applicaties niet meer werken. En dan kom je er achter dat die bureaucratische regeltjes vooral in het geval van Java nog goed zijn ook. Elke update moet je met veel argwaan behandelen, het zal niet de eerste keer zijn dat een update compatibiliteit met een applicatie breekt.
http://tweakers.net/nieuws/84105/noodpatch-oracle-voor-kritiek-lek-java-bevat-nieuwe-kwetsbaarheid.html
en over updates bij houden controlleer ik best vaak ,
iederdag eigenlijk beetje uit verveling
maar moet er wel bij zeggen waar dit nieuws van Java over gaat
dat ik dit ook niet heb had geweten als net 60% andere mensen
met dat als ik nie op security.nl dit had gezien
ik zelf gebruik wel een automatische updater van psi personel security inspector
maar raar genoeg gaf die geen nieuw update aan van Java
ben zelf naar java in pc gegaan en naar check update gegaan
en ik had versie 6nog wat en nu 7 nog wat
deze nood patch heb ik nog niet gedownload maar dat doe ik
meteen hier na ,
omdat ik dit met toeval ook weer op security.nl zag
dus ik begrijpt heel goed dat er 60% niet eens weten van java of laat staan dat er een belangrijke update van uit is
en de meeste intreseren pc updates niet eens die gaan er van uit dat ze met microsoft updates meteen mee komen
of weten het niet eens
die gene die het veiligst zijn zijn dan toch weer de mensen die respect hebben voor hun pc en weten wat ze doen
of ja in die zin dan
maar idt kan uit eindelijk ook elke kant weer uit nu maar ff die update check doen van java
en nog een vraagje 1
is java nu veilig om aan te zetten met deze nood patch ?
heb hem maar ff uitgezet in de browser via nieuw tip security.nl
ben je van al het gezeur af
31-Aug-2012
- Vulnerability Notice along with a Proof of Concept code are sent to Oracle corporation (Issue 32).
- Oracle confirms successful reception and decryption of the vulnerability report. The company provides a tracking number for the unconfirmed issue. Oracle informs that it will investigate the issue based on the data provided and will get back with the results soon.
http://webwereld.nl/nieuws/111638/-java-noodpatch-bevat-nieuw-kritiek-lek-.html
Verwijderen dus.
en het gaat niet om het negeren van een nood patch, elke keer als ze zulke blunders maken zitten wij met de gebakken peren.
Daarom wacht ik liever tot ze hun dingen weer op orde hebben, tot die tijd is noscript mijn aller beste vriend. (1 van de beste haha)
Verwijderen gaat niet vanzelf. Na het verwijderen via het configuratiescherm blijven er nog een aantal zaken achter. De plug-in staat nog actief in internet-explorer. Verwijderen gaat door in de registry-editor te zoeken naar het class-ID (Klasse-id) en deze entries te verwijderen. Deze is te vinden via invoegtoepassing beheren de java helper te selecteren en vervolgens op 'meer informatie' te klikken. Het id is niet te selecteren en moet dus worden overgetypt.
Ook staan er nog een aantal java zaken in de software entries. Niet makkelijk te verwijderen voor normale gebruikers lijkt me.
http://www.security.nl/artikel/42914/1/Java-noodpatch_blijkt_lek.html
De invoegtoepassing wordt pas gertoond na het surfer naar www.java.com/en/download/installed.jsp. Vervolgens op de knop controleren drukken.
De class-ID van Deployment toolkit kan dan ook worden opgevraagd en via de registry editor worden verwijderd. In mijn geval is het ID CAFEEFAC-DEC7-0000-0001-ABCDEFFEDCBA. Ook CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA heb ik verwijderd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
