Nieuw Java security probleem

Een nieuw ontdekte zwakheid in Java 7 zou al door hackers worden aangewend, en voorlopig wordt geadviseerd de Java plug-in in browsers uit te schakelen.

Een securityonderzoeker, Kafeine, meldde op zijn blog dat hij een nieuw probleem ( CVE-2013-0422) inzake het draaien van ongeoorloofde Java code had ontdekt, waarvoor ook volledig bijgewerkte Java 7 installaties – inclusief Java 7 update 10 – kwetsbaar zijn. Het probleem werd vervolgens onder meer AlienVault bevestigd. De kwetsbaarheid zou bovendien al worden misbruikt door verscheidene hackerskits (wat het tot een ‘zero day exploit’ maakt: er verliep geen tijd tussen de ontdekking van de zwakheid en misbruik in de praktijk). Concreet kan een gebruiker door een bezoek aan een besmette site kwaadaardige software (malware) binnen laden, die vervolgens ongehinderd in de Java Runtime Environment (JRE) kan draaien.

De US-CERT (Computer Emergency Response Team) beschrijft het probleem in een ‘vulnerability note’ en stelt momenteel nog geen weet te hebben van een oplossing (“unaware of a practical solution”), anders dan Java in browsers uit te schakelen. Dat is vanaf Java 7 heel wat makkelijker, zoals Oracle zelf beschrijft.