Bug crítico no Java permite poderosos ataques browser based…

…Em versões antigas e na penúltima versão.

Por Hélder Ferreira para o PPLWARE.COM

Quando falamos em segurança web ou em segurança informática, falamos de um assunto critico e que requer a maior atenção de todos os utilizadores da internet ou das novas tecnologias.

Já desde há muito tempo que se conhece os erros técnicos e profissionais na criação das versões do Java e que leva a aparecerem bugs muito graves ou críticos, e desta vez não foi exceção e apareceu uma nova falha critica ou muito critica (CVE-2012-0507) que proporciona aos hackers injetarem exploits ou malwares com o intuito de controlar a máquina alvo para os demais fins, desde roubo de dados até tornar a nossa máquina num zombie (bot), através de um bug que permite contornar a segurança da maquina virtual (sandbox) do Java.

A falha permite, essencialmente, que os meliantes possam neutralizar o funcionamento da sandbox e deixar passar todo e qualquer tipo de aplicações ou código Java. O Java é um software multiplataforma igualmente como a maior parte do código Java, o que proporciona a propagação massiva de malwares por esta falha noutras plataformas.

Num relatório feito por Brian Krebs do KrebsonSecurity, este exploit está englobado no pack BlackHole Exploit Kit, um pack muito conhecido por conter poderosos exploits para explorar e aproveitar falhas deste software.

Também a Microsoft’s Malware Protection Center não poderia deixar de ter uma palavra sobre este assunto e na semana passada lançou um alerta em que relatou que as novas amostras deste novo malware que foram surgindo são altamente poderosas e muito eficazes na exploração desta falha, tendo incluído no seu código o conhecido e muito poderoso ZeuS Trojan (PWS:Win32/Zbot.gen!Y).

De acordo com dados da gigante Oracle, o Java está presente em mais de 3 biliões de sistemas em todo o mundo, mas na verdade a maior parte das pessoas que têm este poderoso software instalado, não o usam ou simplesmente usam-no para situações específicas e como é normal, sempre que sai novos updates deste software aparecem sempre novas falhas e novos exploits 0day poderosos para explorar estas vulnerabilidades.

No dia 28 de Março, também Marcus Carey, um especialista em investigação de segurança da Rapid7, adicionou mais algumas perspetivas sobre a gravidade desta situação:

Sempre que um exploit, como por exemplo o CVE-2012-0507, é adicionado a um kit de exploits, é um caso muito preocupante.

Em base da Rapid7, 60 a 80% dos computadores que têm o Java instalado, estão vulneráveis a este ataque por não fazerem atualização do software. Vendo as coisas a longo termo, acima de 60% das instalações do Java nunca são atualizadas, o que faz com que qualquer exploit existente para o Java possa ser executado e comprometer as máquinas.

A Rapid7 investigou o ciclo de atualizações do Java e concluíram que durante o primeiro mês do patch, a atualização é menor que 10%, depois de dois meses, é de aproximadamente 20% e após três meses, pouco mais de 30. A taxa de atualização realizada durante o ano passado, passados três meses após o lançamento do update, ficou-se pelos 38%.

Desde que o ultimo patch foi disponibilizado, no dia 15 de Fevereiro de 2012, só cerca de 10% fizeram actualização.

Em nota pessoal, recomendo que quem tenha o Java instalado, que o desinstale ou que o desative, se usa o software por questões profissionais, recomendo que faça sempre atualização para o último patch disponibilizado. Para quem precisa do Java, que verifique se tem a última actualização instalada, Java Detect.