45% Nederlandse pc-gebruikers gebruikt onveilige Java 6
Bijna de helft van de Nederlandse Windowsgebruikers heeft het niet meer ondersteunde Java 6 geïnstalleerd, waardoor ze verhoogd risico lopen om met malware besmet te raken. Java, niet te verwarren met Javascript dat browsers standaard ondersteunen, is ontwikkeld door Sun Microsystems.
Het bedrijf werd overgenomen door Oracle, dat tegenwoordig Java onderhoudt. Via Java is het mogelijk om Java-applets te draaien, wat in principe gewoon programma's zijn. Java 6 voor Windowsgebruikers wordt al enige maanden niet meer door Oracle ondersteund, wat inhoudt dat ontdekte beveiligingslekken geen patch krijgen. Gebruikers van Java 6 krijgen dan ook het advies om naar Java 7 te upgraden.
Gebruikersgroep
Een advies dat niet alle Java 6-gebruikers opvolgen en een groot probleem aan het worden is. Sinds Oracle de ondersteuning stopte zijn er namelijk twee beveiligingslekken in Java 6 ontdekt die actief worden gebruikt om internetgebruikers aan te vallen. Afhankelijk van de gebruikte browser volstaat het bezoeken van een kwaadaardige of gehackte website en is er geen verdere interactie vereist om met malware besmet te raken.
Het is onduidelijk hoe groot de groep Windowsgebruikers is die nog steeds Java 6 geïnstalleerd heeft. Lange tijd werd een percentage van 21% van alle Java-gebruikers genoemd. Hosting bedrijf Jelastic liet vorige week weten dat het om 12% ging, maar volgens anti-virusbedrijf Trend Micro zou het om meer dan de helft van de Java-gebruikers gaan die de onveilige versie gebruikt.
Nederland
Het Deense beveiligingsbedrijf Secunia publiceerde vandaag cijfers die het via de Personal Software Inspector (PSI) in het tweede kwartaal van dit jaar bij Nederlandse Windowsgebruikers verzamelde. De tool scant alle geïnstalleerde software op versienummer en installeert updates als die beschikbaar zijn. Bij 45% van de gebruikers werd Java 6 aangetroffen.
Na Microsoft XML Core Services (MSXML) 4 is Java 6 het meest blootgestelde programma dat gebruikers geïnstalleerd hebben. Uit de cijfers van Secunia komt verder naar voren dat er nog veel gebruikers met niet meer ondersteunde versies van Google Chrome en Firefox werken, wat enigszins opmerkelijk is, aangezien deze browsers over een automatische update-functie beschikken.
Bij het onderzoek naar de cijfers van het eerste kwartaal liet Secunia nog weten dat de werkelijke cijfers van ongepatchte applicaties waarschijnlijk hoger liggen, aangezien PSI-gebruikers veiliger zijn dan andere Windowsgebruikers die niet met de risico's van ongepatchte software bekend zijn.
Off-topic bij de berichtgeving over Java 6,
maar vanwege het geplaatste programma-overzicht en het vermelden van Microsoft XML Core Services (MSXML), plaats ik hier een kopie van wat ik zonet bij een verwant artikel (https://www.security.nl/posting/364028/) al had geplaatst:
http://secunia.com/?action=fetch&filename=PSI-Country-Report-(NL)-(2013Q2).pdf
http://secunia.com/?action=fetch&filename=PSI-Country-Report-(US)-(2013Q2).pdf
Bovenaan het lijstje met de "Top 10 Most Exposed Programs" staat nog steeds Microsoft XML Core Services (MSXML).
Net zoals dat ook in juni al het geval was, zie:
https://www.security.nl/posting/41348/Top+10+van+minst+gepatchte+programma%27s+in+Nederland
De oorzaak daarvan?
MSXML 4.0 SP2 wordt sinds april 2010 niet meer ondersteund
en MSXML 4.0 SP3 wordt niet aangeboden via Windows Update,
waardoor de kwetsbaarheden in MSXML 4.0 SP2 niet automatisch gepatcht worden.
En dat gaat niet veranderen.
Beschrijving van dat MSXML 4.0 update probleem
en tevens een beschrijving hoe MSXML 4.0 te patchen,
zie: https://www.security.nl/posting/41791/MS+ignores+XML+update+issue
"Maar goed, genoeg daarover nu :-)"
Zonder dollen, misschien kan je (spiff) Secunia overhalen daar iets van te vinden en door hen dat aanhangig te laten maken bij Ms?
Succes
;-)
De geinfecteerde laptop die ik van de week ontrevetonde, had die skype5 een java6, adobe air3 en een reader9 en 1 van die flash versies. Allemaal met dezelfde installatie datum als het os. Sommige waren nooit gebruikt, maar ook niet gedeinstalleerd, ze zaten bij de laptop. En waarvoor ze dienden, dat wist bijna niemand.
't zou me dan ook niks verwonderen, als die hoge rating in de top 10, vooral door bloatware is.
En de rare eigenschap van java6, om zich niet altijd even goed te laten deinstalleren.
Heb toch menige broken uninstaller gezien.
Dat je zelf de folder en de registry sleutels moest weg gooien, om java6 effectief van je systeem te krijgen.
Had ik dat na een kleine 13.000 woorden nou verkeerd gelezen?
"Maar goed, genoeg daarover nu :-)"
(zie https://www.security.nl/posting/41791#posting359109)
Maar ik kan me prima voorstellen dat je die hele "MS ignores XML update issue" thread betreffend MSXML 4.0 ook wel genoeg vond ;-)
Zonder dollen, misschien kan je (spiff) Secunia overhalen daar iets van te vinden en door hen dat aanhangig te laten maken bij Ms?
(zie https://www.security.nl/posting/41791#posting358513)
Ik beschouw het als een gelopen weg.
Maar wanneer Secunia die ongepatchte MSXML 4.0 blijft aanhalen in de Country Reports, en Security.NL ernaar blijft verwijzen in nieuwsberichten, dan voel ik me geroepen nog weer eens te verwijzen naar die "MS ignores XML update issue" thread.
Dat verklaart ook deze reactie:
Turning to matters of online security and government surveillance programs Ellison endorses the NSA's surveillance programs as "great" and "essential."
"By the way, President Obama thinks it's essential [too]," he said, "It's essential if ... we want to minimize the kind of strikes that we just had in Boston. It's absolutely essential."
http://www.cbsnews.com/8301-505263_162-57598257/oracle-ceo-larry-ellison-google-ceo-did-evil-things-apple-is-going-down/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
