Car-tech

Websense: la plupart des navigateurs Java sont vulnérables aux exploits Java répandus

Week 9, continued

Week 9, continued
Anonim

La plupart des installations de navigateur utilisent des versions obsolètes du plug-in Java qui sont vulnérables à au moins exploits actuellement utilisés dans les kits d'attaque Web populaires, selon les statistiques publiées par le fournisseur de sécurité Websense

La société a récemment utilisé son réseau d'intelligence des menaces, qui surveille des milliards de requêtes Web provenant de «dizaines de millions» d'ordinateurs protégés par ses produits., pour détecter les versions Java installées sur ces systèmes et disponibles via leurs navigateurs Web. Websense fournit des produits de sécurité pour passerelles Web et email pour les entreprises, mais aussi un partenariat avec Facebook pour analyser les liens cliqués par les utilisateurs sur le site de réseautage social pour un contenu malveillant.

Les données de télémétrie Java recueillies par Websense montrent que seulement 5,5% des Les navigateurs compatibles Java disposent des versions les plus récentes du plug-in de navigateur du logiciel: Java 7 Update 17 (7u17) et Java 6 Update 43 (6u43). Ces deux versions ont été publiées le 4 mars afin de répondre à une vulnérabilité qui était déjà exploitée dans les attaques actives de l'époque.

[Plus d'informations: Comment supprimer les logiciels malveillants de votre PC Windows]

Selon Websense, un exploit pour cette vulnérabilité a depuis été intégré dans le Cool Exploit Kit, un kit d'attaque Web utilisé par les cybercriminels pour lancer des attaques par téléchargement massives qui infectent les ordinateurs avec des logiciels malveillants lors de la visite de sites Web compromis ou malveillants.

Cool Exploit Kit -end toolkit d'attaque qui nécessite un abonnement de 10 000 $ par mois, donc il y a un argument à faire que peu de cybercriminels peuvent se le permettre. Cependant, les données de Websense montrent qu'un grand nombre d'installations de navigateur Java sont également vulnérables aux exploits utilisés dans des kits d'exploitation beaucoup moins chers et répandus.

Par exemple, l'entreprise a trouvé que 71% des installations de navigateur Java étaient vulnérables à un exploit plus ancien qui est actuellement présent dans quatre kits d'attaque Web différents: RedKit, CritXPack, Gong Da et Blackhole 2.0. L'exploit cible une vulnérabilité Java appelée CVE-2012-4681 qui a été corrigée par Oracle en août 2012.

Plus de 75% des navigateurs Java analysés par Websense utilisaient une version de plug-in Java de plus de six mois vieux, et près des deux tiers ont utilisé une version qui avait plus d'un an. Les utilisateurs de ces navigateurs ne bénéficient pas des contrôles de sécurité introduits par Oracle dans Java 7 Update 11 qui empêchent les applets Java de s'exécuter dans les navigateurs sans confirmation par défaut.

Les données montrent que lorsqu'il s'agit de Java, les attaques zero-day «Les attaques qui exploitent des vulnérabilités auparavant inconnues du public ne devraient pas retenir toute l'attention», ont déclaré les chercheurs en sécurité de Websense dans un article de blog.

D'autres experts en sécurité ont déjà dit qu'Oracle devrait trouver un moyen d'améliorer le taux d'adoption des mises à jour Java, peut-être en offrant l'option de mises à jour automatiques silencieuses comme Google ou Adobe dans Chrome, Flash Player et Adobe Reader. Les mises à jour logicielles silencieuses ne sont pas populaires dans les environnements d'entreprise, où les correctifs doivent être testés pour des problèmes de compatibilité et de stabilité avant d'être déployés sur des systèmes, mais ils réduiraient probablement la fragmentation des versions Java dans l'espace client.