Java-haavoittuvuus jälleen ajankohtainen

[paulaw]

Hei,

Se on sitten Javasta taas löytynyt tietoturva-aukko. Koskee siis kaikkia käyttöjärjestelmiä, joissa Java on käytössä. Päivitys OS X:n suhteen on tätä nykyä Oraclella, joten kaiken järjen mukaan päivitys tulee samanaikaisesti mäkeille ja muille, sitten kun tulee.

Lisää kerrotaan täällä: http://www.digitoday.fi/tietoturva/2012 ... 1236573/66

Tuossa uutisessa mainitaan myös linkki sivulle http://www.isjavaexploitable.com -se kertoo, että kyllähän se java minullakin on tällä hetkellä haavoittuva. Java kiinni siis selaimesta, ellei se jo ennestään sitä ole. Kunnes tämä on päivitetty. Jos java on disabloitu, silloin uhasta ei tarvitse niin välittää.

Javan ottaminen pois käytöstä: http://krebsonsecurity.com/how-to-unplu ... e-browser/

Englanninkielisiä sivuja, digitodayn uutista lukuunottamatta. Kyselkää täällä, mikäli se estää jotain tärkeää ymmärtämästä.

[MacFinn]

Lainaus tuolta: Apple OS X Safari users don't panic. We can still detect your Java version, but it's not exploitable if you have disabled

[paulaw]

Lainaus tuolta: Apple OS X Safari users don't panic. We can still detect your Java version, but it's not exploitable if you have disabled

Juu. Sama viesti täällä. Eli jos Java selaimesta on poistettu, ongelma (ennen seuraavaa päivitystä) ei haittaa. Sama koskee sitten tietysti muitakin Mäkin selaimia.

[välkkytipsu]

Miten poistan Javan Google Chrome -selaimesta?
kysyy amatööri

[ER]

Miten poistan Javan Google Chrome -selaimesta?
kysyy amatööri

Chromessa on sellainen hieno ominaisuus, että voit säätää niin että tuollaiset Javan tyyppiset vipstaakit eivät käynnisty lainkaan itsestään vain ainoastaan klikkaamalla mikäli et ole antanut ko. sivustolle erityisiä oikeuksia.

Asetukset -> alhaalta "näytä lisäasetukset" -> Sisältöasetukset -> Laajennukset -> Käynnistä napauttamalla.

Jos tuo ei riitä, niin Käynnistä napauttamalla -kohdan alla on "Poista laajennuksia käytöstä yksittäin..." mistä voi halutessaan poistaa käytöstä kokonaan sen Javan sun muuta.

[spiidi78]

Lainaus tuolta: Apple OS X Safari users don't panic. We can still detect your Java version, but it's not exploitable if you have disabled

Ja taitaa olla disabloituna ihan vakiona näissä uusissa järjestelmissä, ellei ole jostain syystä laittanut päälle.

Miten poistan Javan Google Chrome -selaimesta?
kysyy amatööri

http://www.podfeet.com/wordpress/tutori ... in-chrome/
Nuo ohjeet pätevät edelleen.

[securapple]

Hei!

Syynä tähän miltei ylimitoitettuun uutisointiin on, että JAVA:n seuraava tietoturvapäivitys tulee vasta lokakuussa, ja tätä hyväksikäyttöä käytetään jo nyt laajalti (kiinalaisten kohdistetuissa hyökkäyksissä, Gondad -hyökkäystyökalun osana sekä metasploit-työkalun osana).

Sinänsä it haavoittuvuus ei ole mikään puskuriylivuoto, vaan bugi itse javassa jolloin 1.7:ssa voidaan käyttää metodia SetSecurityManager joka saadaan kikkailemalla arvoon "null" jolloin JAVA hiekkalaatikkoa ei käytännössä ole.

Java 1.6:n asennus 1.7:n tilalle auttaa. Samoin esim. firefoxissa lisäosana saatava selaimen user-agentin vaihtomoduulilla voi yritää huijata saastettuja sivustoja.

Seurataan tilannetta.

-Securapple

[jomppa]

Kannatti olla päivittämättä Java7-versioon, kun Applen kautta tullut Java6 on tässä suhteessa turvallinen. Jos pelottaa ja muutenkin epäilyttää niin ottakaa ihmeessä Applettien ajo selaimista pois, mutta jättäkää Java (vaikka tuo vanhempi versio) koneelle. Monet ohjelmat käyttävät kuitenkin Javaa, mutta haittasivustot eivät haittaa selaimen ollessa Javaton.

[paulaw]

Sinänsä it haavoittuvuus ei ole mikään puskuriylivuoto, vaan bugi itse javassa jolloin 1.7:ssa voidaan käyttää metodia SetSecurityManager joka saadaan kikkailemalla arvoon "null" jolloin JAVA hiekkalaatikkoa ei käytännössä ole.

Java 1.6:n asennus 1.7:n tilalle auttaa. Samoin esim. firefoxissa lisäosana saatava selaimen user-agentin vaihtomoduulilla voi yritää huijata saastettuja sivustoja.

Onko näin? Mulla on käytössä tuo Java 1.6 (1.6.0_33-b03-424), mutta linkkaamani testisivun mukaan siinäkin tuo haavoittuvuus on.

Java siis kannattaa pitää kiinni selaimesta. Sampo-pankin käyttäjille tietysti tämä tietää lisäharmia (ellei ole käytössä iOS-laitetta, joille on pankkisovellus). Itselläni on koneessa Java-ympäristö, koska yksi käyttämäni ohjelma (ProjectX) sitä tarvitsee. Mutta, itse koneella se ei ole harmi, kunhan selain ei pääse sitä käsittelemään.

[securapple]

Paulaw :

Xanda teki tällaisen analyysin :
However, debugging the exploit in Java version 1.6 (jre6) it did not work: the Class.forName() object successfully instantiated the sun.awt.SunToolkit object, but then the use of its getField() method threw an exception. Instead, the method works fine in version 1.7 (jre7).

So, even if version 1.6 allows the instantiation of the sun.awt.SunToolkit object, it prevents it from accessing the private Statement.acc field, which seems correct. It seems that the bug is really in version 1.7, in the access to the Statement.acc. Or maybe none of the two is supposed to happen: sun.awt.SunToolkit must not be instantiated to restricted code, and the Statement.acc field must not be accessed by anyone.

Ja toisesta tarkemmasta analyysistä (jälkimmäinen lähde) :
Affected Versions
The com.sun.beans.finder.MethodFinder and com.sun.beans.finder.ClassFinder classes are available only since JDK 7

Näistä vedän johtopäätöksen, että vain JRE 7 on haavoittuva.

Lähteet :
http://scrammed.blogspot.fi/2012/08/ana ... -0day.html
http://immunityproducts.blogspot.com.ar ... -4681.html

-Securapple

[suppo84]

Nappasin tuon javan pois käytöstä safari selaimen asetuksista. Toisaalta onko tuolla virkaa kun tässä Snow Leopardissa on javan 1.6 versio jossa kyseistä haavoittuvutta ei ole. :-)

[paulaw]

Hei,

Securapplen väite pitää todella paikkansa, Javan versiossa 1.6 tuota haavoittuvuutta ei ole. Mustapekka-sivusto kertoo asiasta, http://www.mustapekka.fi/news/174/33/Va ... s-article/

Valtaosa Mac-käyttäjistä on kuitenkin haavoittuvuudelta turvassa mikäli käyttäjä itse ei ole asentanut Javan tuoreinta 1.7-version betajulkaisua. Silloinkin riski on pieni, sillä valtaosa havaituista hyökkäyksistä on toistaiseksi toiminut vain Windows-ympäristössä.

Apple ei tunnetusti ole enää Mac OS X Lionin jälkeen toimittanut Maceissa Javaa esiasennettuna, vaan se on pitänyt ladata erikseen joko ohjelmiston päivityksen tai Applen sivujen kautta. Applen kautta saatava Java-versio on lisäksi 1.6.x -versiossa.

Mikäli Java on asennettu Maciisi etkä sitä tarvitse, on se turvallisuusasioiden kannalta syytä käydä kytkemässä pois päältä avaamalla Ohjelmat -> Lisäohjelmat -> Java-asetukset, ottamalla ruksi pois kohdasta "Ota sovelmaliitännäinen ja Web Start -ohjelmat käyttöön" ja sulkemalla asetusikkuna.

Mikäli OS X ehdottaa edellä mainittua Java-asetukset -ohjelmaa avattaessa Javan asentamista, ei Javaa ole asennettu koneellesi ja voit huoletta jättääkin sen asentamatta ellet tiedä sille olevan erityistä tarvetta.

Mistä sitten tietää, mikä Java-versio on koneessa? Lisäohjelmat -> Java-asetukset. Sieltä sen näkee. Jos myös on asentanut sen uusimman Oraclen Javan, 1.7:n, sille on hallintapaneeli Järjestelmäasetuksissa. Komentoriviä jos osaa käyttää, sitä kautta asia selviää kirjoittamalla "java -version". Mikäli se antaa tiedoksi 1.6, on turvassa, mikäli 1.7 niin silloin lienee viisainta asentaa vanhempi Javan versio tilalle. Mountain Lion testieni mukaan asentaa oletuksena tuon Applen toimittaman 1.6-version, mikäli Javalle on tarvetta. Se haavoittuvuusversio tulee Oraclen sivuilta.

Sijaintipaikka Javalle on /System/Library/Java/JavaVirtualMachines/

Itse olen ollut innokas päivittämään, joten minulla on tuolla hakemisto jdk1.7.0_06.jdk. Haavoittuvan version voi poistaa poistamalla tuon hakemiston, mikäli siellä on myös jdk1.6-alkuisia hakemistoja, ne ovat näitä turvallisia Javan versioita. Mikäli siellä ei ole mitään, koneella ei ole Javaa, ja mikäli sellaista syystä tai toisesta tarvitaan, lataukseseen tulee tuo 1.6-versio, ainakin siis omalla koneellani. Tuon löytää myös Applen sivuilta. Uudempaa, haavoittuivaa Javan versiota siellä ei ole.

Että näin, uusimmassa versiossa on aukko ja päivityksen ajankohta on avoin. Vanhemmassa versiossa ei ole, kerrankin näin päin. Automaattisten päivitysten kautta kuitenkaan ilmeisesti tuota uusinta versiota ei ole koneelle tullut, koska päivittyy Oraclen eikä Applen kautta.

Taidan downgreidata itse ja pitää silti Javan kiinni selaimesta.

Englanninkielisiä ohjeita:
http://osxdaily.com/2012/08/01/install- ... tain-lion/
http://reviews.cnet.com/8301-13727_7-57 ... -for-os-x/

Jos nuo ohjeet vaikuttavat heprealta, kannattaa ehkä kysyä täältä ennen kuin alkaa säätelemään, ellei ole koskaan tehnyt sen ihmeempiä tsekkejä tai kielen kanssa on ongelmia.

edit, lisätty linkit

[paulaw]

Nappasin tuon javan pois käytöstä safari selaimen asetuksista. Toisaalta onko tuolla virkaa kun tässä Snow Leopardissa on javan 1.6 versio jossa kyseistä haavoittuvutta ei ole. :-)

Vainoharhamoodi minussa sanoo, että kannattaa tehdä noin, koska ellei sitä tarvitse, miksi olla käytössä ja esillä? Eri asia, jos tarvitsee. "Javassa löytyy aina bugeja", kommentoi F-Securen Hyppönen taannoin.

[reekuli100]

Tuli eilen napattua tuo Java pois päältä.

Tuli yksiä sun toisia haittoja. Esim. MTV3 -uutissivusta katosi mahdollisuus näyttää vain uutisten listaus, piruko noita pieniä kuvia jaksaa tihrustaa, että mitä siinä oikein. Parista keskustelupalstasta katosi myös ominaisuuksia, jne. Yksi meni osittain vilkuilukelvottomaksi.

Safari oli käytössä. Pistin Java:n takaisin kun näkyy olevan tuo 1.6.

Hiukan ihmettelen, jos Apple meinaa hylätä Java:n, Taitaa tulla hauskoja vaikeuksia. Tietysti voi olla joku kiertotie.

Jotenkin vain jäi käsitys tässä kokeilussa, että nettisivujen ylläpitäjät paikkailevat/ovat paikkailleet teelmiään Java:lla ja hankalaksi menee, ellei Java:a pysty käyttämään.

[MacFinn]

Ootko nyt varma, ettet ottanut Javascriptiä pois päältä? Se ja Java itse eivät ole sama asia.

[paulaw]

Tuli eilen napattua tuo Java pois päältä.

Tuli yksiä sun toisia haittoja. Esim. MTV3 -uutissivusta katosi mahdollisuus näyttää vain uutisten listaus, piruko noita pieniä kuvia jaksaa tihrustaa, että mitä siinä oikein. Parista keskustelupalstasta katosi myös ominaisuuksia, jne. Yksi meni osittain vilkuilukelvottomaksi.

Safari oli käytössä. Pistin Java:n takaisin kun näkyy olevan tuo 1.6.

Ettei tosiaan olisi mennyt JavaScript pois päältä samalla? Nimi on hämäävä, sillä ei todellisuudessa tämän Java-javaympäristön kanssa ole mitään tekemistä. Kuva suojausasetuksista:

Kaappari.jpg

Näin se Java on pois käytöstä, mutta JavaScript toimii.

[reekuli100]

Ootko nyt varma, ettet ottanut Javascriptiä pois päältä? Se ja Java itse eivät ole sama asia.

Jaa. Aina jotain uutta oppii.

Niinhän sitä tietysti tuli tehtyä, kun joskus win-koneelle yritti virus jo hakutuloksen napautuksesta. Siellä oli joku scriptin pätkä piilossa.

Että ekaksi epäilin heti tuota javascriptiä. Täytyypä huvikseen "opiskella".

[Sherukka]

Eikä Apple hylkää javaa. Nyt se toimitetaan sieltä mistä sitä kehitetäänkin eli Mac-koneille saadaan nopeammin uusin versio ja tietty kaikki mahdolliset ongelmat sen mukana.

[jytuo]

Nyt on jo Oraclen versio 1.7 update 7 sekä 1.6 update 35 jakelussa.
Apple siis periaatteessa saa sen pian ellei ole jo saanutkin.
Tosin Applen tarjoama javan 6-sarja ei ollut ainakaan vielä haavoittuvainen muutenkaan.

Javan poisto käytöstä on silti suositeltavaa ja helppo tehdä Safariin.
Chromessahan noita voi säädellä chrome://settings/content -kohdassa.

[securapple]

Hei!

Tämä java-haavoittuvuus on lisätty pikavauhdilla todella moneen hyökkäystyökaluun, ja netissä alkaa olemaan jo melkoinen määrä sivustoja joilta voi tämän haavoittuvuuden kautta saada ikävää lastia. Oraclen oli pakko tehdä päivitys poikkeuksellisessa aikataulussa. Hyvä näin.

-Securapple

[securapple]

Hei!

Taas on yksi JAVA zero-day havaittu, mutta ei raportoitu pahiksille. Korjaamattomia haavoittuvuuksia odottaa jonossa ainakin 29 kpl!

Nämä JAVA-ongelmat eivät heti lähitulevaisuudessa lopu...

-Securapple

[apple_fani]

Nämä JAVA-ongelmat eivät heti lähitulevaisuudessa lopu...

Sanoisin, että eivät lopu koskaan

[paulaw]

Kaskas, näin sitten käynyt taas.

Kääntäkääs joku natiivi OSX-versio ProjectX:stä niin ratkon javaongelmat laittamalla terminaaliin "sudo rm -rf /System/Library/Java/JavaVirtualMachines/*" :p

No toivottavasti tuohonkin saadaan jo korjaus. Mutta aiemmin esitetyt turvaohjeet (älä käytä selaimessa ja älä edes asenna ellet tarvitse) pätee edelleen.

[apple_fani]

Nyt on Macille [OS X 10.6, 10.7 ja 10.8] joku korjaus tullut: http://www.macrumors.com/2012/09/05/app ... -and-10-8/

[Omppu-ukko]

Nyt on Macille [OS X 10.6, 10.7 ja 10.8] joku korjaus tullut: http://www.macrumors.com/2012/09/05/app ... -and-10-8/

Pitäisikö päivitys saada koneelle Omppu-valikosta ohjelmiston päivityksellä? Ei ainakaan omalle koneelle sitä ole vielä tuolta kautta tarjolla (OS X Lion 10.7.4/MacBook). Koneessani asennettuna Javasta versio 1.6.x