Exploitation Using Java RMI Service - Metasploit Minute
Innehållsförteckning:
- Vulnerablity till salu
- Förutom att ta itu med Zero Day-sårbarhet i söndagsplåstret, ökade Oracle också Java-säkerhetsinställningen till "hög" som standard. "Det betyder att just nu måste användaren godkänna genomförandet av Java-appletar som inte är signerade med ett giltigt certifikat," förklarade Jaimie Blasco, chef för AlienVault Labs, i ett email.
För Oracle är det deja vu igen.
Bara dagar efter att det släpptes en korrigeringsfil för en allvarlig säkerhetsfel som upptäcktes förra veckan i sitt Java-programmeringsspråk, gör programvaran rubriker igen eftersom en annan tidigare opublicerad fel i programmet hotar säkerheten för miljontals datorer som fortfarande kan få programmet att köra på det.
Oracle släppte en fix söndag för en Java-fel så seriös att USA: s avdelning för hemlandsäkerhet rekommenderade att datoranvändare inaktiverar programvaran, om inte det var "absolut nödvändigt".
[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows PC]Denna rådgivning upprepades måndag av avdelningen Computer Emergency Readiness Team (US-CERT), även efter att patchen var tillgänglig för användare.
Vulnerablity till salu
Nu är det bei ng rapporterade att en nyskapande Black Hat sörjer för en ny Zero Day-sårbarhet för den senaste versionen av Java (version 7, uppdatering 11) till upp till två köpare för $ 5000 vardera.
Både weaponized och source code versioner av sårbarheten var att erbjuds av säljaren, enligt säkerhetsbloggen Brian Krebs, som upptäckte erbjudandet på ett exklusivt forum för brottslighet.
Sedan Krebs upptäckte erbjudandet sa han att den har tagits bort från forumet för brott och föreslog säljaren att hitta sina köpare för exploateringen.
"I det här fallet bör det bortse alla illusioner som människor kan ha om säkerheten för att ha Java installerat på en slutanvändardator utan att ta försiktiga steg för att isolera programmet," skrev Krebs. > Den senaste Java-exploiten är sämre än den förra, eftersom ingen vet vad det är, enligt Bogdan Botezatu, senior e-hotanalytiker med antivirusprogrammakare Bitdefender.
I den felfria patched söndagen förklarade han exploateringskoden identifierades b ja säkerhetsforskare i några populära malware-kit. Med den senaste felet är den bara känd för säljaren.
"Den nuvarande utnyttjandemetoden kommer sannolikt att förbli okänd för en större tidsram, vilket också ökar angriparnas möjligheter", säger Botezatu i ett email.
Tidigare i veckan noterade Botezatu i en blogg som trots att plåstret drevs av Oracle på söndagen, fortsatte cyberkriminella att utnyttja sårbarheten på oförlästa maskiner för att installera ransomware på dem.
Oracles säkerhetsåtgärder
Förutom att ta itu med Zero Day-sårbarhet i söndagsplåstret, ökade Oracle också Java-säkerhetsinställningen till "hög" som standard. "Det betyder att just nu måste användaren godkänna genomförandet av Java-appletar som inte är signerade med ett giltigt certifikat," förklarade Jaimie Blasco, chef för AlienVault Labs, i ett email.
Medan det rör sig är ett bra steg mot gör Java säkrare i en webbläsare, noterade Blasco, det är långt ifrån en panacea för Java-problem. "
" "Tidigare har vi sett att angriparna kunde stjäla ett giltigt certifikat för att signera skadlig kod så att det vann" t överraska mig om vi ser den här tekniken används, säger han.
Eftersom Java verkar vara riddled med sårbarheter rekommenderar Bitdefenders Botezatu att Oracle identifierar programmets kärnkomponenter och skriver om det från början.
mer än en liten omskrivning av programvaran kommer att göras när Oracle släpper ut nästa version av Java planerad till september.
The Gates Foundation Stiftelsen har gjort ett prisvärt jobb de senaste tio åren installerat Windows-datorer i offentliga bibliotek runt om i landet. Dessa datorer har använts av bokstavligen miljontals människor för att hitta jobb, lära sig nya färdigheter, utforska Internet och förbättra sina datorkunskaper. Medan syftet med dessa donerade datorer inte var att upprätthålla och utöka Windows marknadsandel, har nettoförsäljningen av denna filantropi varit att göra just det.
När det är dags att köpa en dator för ditt hem, gör det inte mycket förnuft att köpa samma typ av dator som du brukar använda på det offentliga biblioteket? Varför köpa en dator vars skärmlayout och operationer du inte känner till? Du skulle vara en dåre att göra någonting, eller hur?
Det finns ett gammalt ordspråk att bygga en ny dator eller uppgradera en gammal: "Använd rätt verktyg för rätt jobb." Visst kan du använda ett smör kniv för att lossa en skruv eller ett tang för att dra åt ett moderkort, men det gör inte jobbet något jämnare, och man kan satsa på att det kan göra någon skada. Att använda rätt verktyg för ett visst jobb gör jobbet enklare och det förbättrar vanligtvis den slutliga kvaliteten på den färdiga produkten.
Varje systembyggare behöver ett antal verktyg för att slutföra alla PC-byggnader eller uppgradera med effektiviteten och precisionen hos en kirurg. Några av verktygen kommer att vara uppenbara, andra mindre.
World Wide Web har miljontals webbplatser - så många att ett liv inte räcker för att besöka dem alla! Det är mänsklig natur att varje uppfinning eller upptäckt har använts till gagn för mänskligheten och också missbrukats! Detta gäller även för WWW-världen! Om det finns tjänster som sökmotorer, samhällsgrupper, e-post, etc för att hjälpa dig, så finns det också spam, nedladdningar av varulager, olaglig delning, vuxeninnehåll, spionprogram, skadlig kod och virus för att skada dig.
Undvik onlinespel