Oracle's Java-patch bevat nieuwe gaten, onderzoekers waarschuwen

Oracle heeft afgelopen zondag Java 7 Update 11 uitgebracht als een noodbeveiligingsupdate om een ​​door cybercriminelen gebruikte zero-day exploit te blokkeren om computers met malware te infecteren.

Beveiligingsverkenningen met succes bevestigd dat een complete bypass voor de Java-beveiligingssandbox nog steeds kan worden bereikt onder Java 7 Update 11 (JRE-versie 1.7.0_11-b21) door twee nieuwe kwetsbaarheden te misbruiken die zijn ontdekt door de onderzoekers van het bedrijf, Adam Gowdiak, de oprichter van het bedrijf, zeiden vrijdag in een bericht dat werd verzonden naar de mailinglijst van Full Disclosure. De kwetsbaarheden zijn vrijdag aan Oracle gemeld, samen met werkende proof-of-concept exploitcode, zei hij.

[Lees meer: ​​Hoe malware van uw Windows-pc te verwijderen]

Volgens het beveiligingsbeleid van Security Explorations, Technische details over de kwetsbaarheden worden pas openbaar gemaakt als de leverancier een patch uitbrengt.

Niet-gerelateerde kwetsbaarheden

Onderzoekers van beveiligingsbedrijf Immunity die de exploit van cybercriminelen sinds vorige week analyseerden, concludeerden dat het ook twee kwetsbaarheden combineerde om te bereiken een Java-sandbox-escape. Later meldden ze echter in een blog dat Java 7 Update 11 slechts een van hen aansprak en waarschuwde dat als aanvallers een andere kwetsbaarheid vinden om de gepatchte te vervangen, er een nieuwe exploit kan worden gemaakt.

De beveiligingslekken die ontdekt zijn door Beveiligingsverkenningen zijn Los van de linkervleugel die Oracle in Java 7 Update 11 niet heeft gepatcht, zei Gowdiak vrijdag via e-mail.

Sommige beveiligingsonderzoekers, waaronder die van het Amerikaanse Computer Emergency Readiness Team (US-CERT), bleven gebruikers adviseren de Java uit te schakelen browser plug-in ondanks de release van Java 7 Update 11, onder verwijzing naar bezorgdheid dat soortgelijke aanvallen in de toekomst kunnen voorkomen.

"Er is zeker iets zorgwekkend met betrekking tot de kwaliteit van de Java SE 7-code," zei Gowdiak. Dit kan wijzen op het ontbreken van een goed programma voor de ontwikkeling van de Secure Development voor Java of andere interne problemen met Oracle, zei hij.

Dat gezegd hebbende, het feit dat Java 7 Update 11 om bevestiging van gebruikers vraagt ​​voordat Java-applets mogen worden gebruikt uitgevoerd in browsers is zeker een stap in de goede richting en zou veel aanvallen kunnen blokkeren, zei Gowdiak.