[NEWS] Java, attacchi senza precedenti

[c.m.g]

martedì 19 ottobre 2010

Spoiler:

Microsoft avverte: negli ultimi tempi, la virtual machine è diventata il bersaglio prediletto di malintenzionati e cyber-criminali. Nonostante le patch siano disponibili da tempo

Roma - L'allarme proviene dal Microsoft Malware Protection Center: sul blog ufficiale, l'organizzazione che fa capo a Redmond descrive quella che è "un'ondata senza precedenti" di attacchi ed exploit pensati per sfruttare vulnerabilità in Java. I dati provengono dalle analisi fatte per mettere assieme l'ultimo Security Intelligence Report di Microsoft, e registrano un picco degli attacchi contro Java durante il terzo quarto dell'anno 2010.

Alla base della nuova pestilenza mirata ad abusare della virtual machine universale di Sun-Oracle, dice Microsoft, ci sono in particolare i tentativi di exploit contro tre diverse vulnerabilità: la prima, CVE-2008-5353, è "un problema di deserializzazione nelle versioni vulnerabili di JRE" che porta all'esecuzione di codice da remoto attraverso i browser su cui è installato il componente Java e su piattaforme multiple (Windows, Linux e Mac OS X).

CVE- 2008-5353 ha sin qui portato a oltre 3,5 milioni tentativi di attacco riguardanti quasi 1,2 milioni di diversi computer, dice il blog, e non bastasse questo si registrano numeri importanti anche per le altre due vulnerabilità: CVE-2009-3867 è un problema di parsing di URL "file://" e può portare all'esecuzione di codice da remoto (2,6 milioni di attacchi e 1,1 milioni di computer), mentre la più recente CVE-2010-0094 è un altro "problema di deserializzazione" simile a CVE-2008-5353 che ha sin qui scatenato 231mila attacchi su 173mila computer.

Tutte e tre le vulnerabilità sono al momento corrette da una patch specifica, ma a quanto pare la cosa non è sufficiente a mettere al riparo netizen e aziende connessi. Java Runtime Environment è un componente attivo in background che non si è ben disposti ad aggiornare con la stessa (alta) frequenza con cui vengono distribuiti gli update al codice, oppure anche se aggiornato non esime i malintenzionati da provare a bucare anche dove buco non c'è.

Oracle dovrebbe adottare l'approccio già seguito da Adobe in merito alla sicurezza dei suoi componenti per browser web, suggerisce Ars Technica, rafforzando il suo impegno nell'irrobustimento del codice e adottando uno schema di distribuzione periodica degli update di sicurezza. La collaborazione con Microsoft per una migliore integrazione di JRE su Windows non guasterebbe.

Alfonso Maruccia






Fonte: Punto Informatico