Оновлення безпеки Mammoth Java надає 51 необхідний виправлення

Ще в червні ми розповіли вам про те, як Oracle зобов’язався робити краще з Java та частіше оновлювати платформу. Це було основою для серії бентежних епізодів, де Java знову і знову використовувалася для нападу на користувачів. Цього тижня Oracle випустила першу з нової серії оновлень для Java, які, сподіваються, зроблять три мільярди пристроїв, які працюють із продуктом, більш безпечним. Це може бути правдою, але оновлення надзвичайно велике з однаково жахливими наслідками.

Виправлення швидше

Раніше Java оновлювалася три рази на рік, але, починаючи з цього тижня, вона оновлюватиметься щоквартально разом з рештою продуктів Oracle як частину їхнього критичного оновлення Patch або CPU (я бачу, що ви там робили, Oracle).

В цілому оновлення включає 127 виправлень безпеки. З них 51 - для Java, і ось ця страшна частина - 50 цих вразливих місць, за словами Oracle, "можуть бути віддаленими в експлуатації без автентифікації".

Але о, стає краще. У своєму блозі Qualys, CTO Вольфганг Кандек пише "12 уразливостей, що мають найвищий бал CVSSv2 з 10, вказуючи на те, що ці вразливості можна використовувати для повного контролю над атакованою машиною через мережу, не вимагаючи автентифікації". Він також зазначає, що більшість оновлень стосуються користувачів ноутбуків та настільних ПК (наприклад, ви, читаючи це зараз), але є два дуже критичні оновлення, пов’язані з встановленням сервера.

Час оновлення!

Більшість користувачів, ймовірно, отримуватимуть оновлення автоматично, але, щоб переконатися, Oracle надав корисну сторінку, щоб перевірити, яку версію ви використовуєте. Якщо він виявить застарілу установку, він запропонує завантажити та встановити оновлення. Зауважте, що найновішою версією цього тижня є оновлення Java 7 45.

Я зроблю швидку секунду, щоб нагадати користувачам бути дуже обережними при оновленні Java вручну, оскільки це спробує переконати вас встановити панель інструментів Ask.com та змінити пошукову систему за замовчуванням на Ask.

Занадто мало?

Хоча добре бачити, як Oracle активізує свою безпеку, але не всі шанують цей крок. Старший радник з питань безпеки Софос Честер Вісневський написав у своєму блозі своєї компанії, що це здається занадто мало занадто пізно. "Якщо ваша репутація така бідна, і ви піддаєте більше мільярдів користувачів вашим недолікам, вам потрібно швидше реагувати".

Вішневський продовжував наголошувати на тому, що пріоритети Oracle були несогласовані, і він мав нахабність напасти на човен Ларрі Еллісона під маркою Oracle, що нещодавно виграв Кубок Америки. "Поставте нагороду на полицю у своєму вестибюлі, продайте човен на мільйон доларів та наймайте інженерів, необхідних для оновлення циклу патчів Java щомісяця за допомогою запасних грошових коштів", - написав Віснєвський. "3+ мільярдів пристроїв будуть вам вдячні."

Оновлення інсталяції Java - це найкращий спосіб захистити себе від атак на основі Java, які використовуються в багатьох наборах для експлуатації і часто використовуються зловмисниками. Звичайно, ви завжди можете витягнути штекер та відключити Java взагалі.