शोधकर्ताओं को जावा में महत्वपूर्ण भेद्यता मिलती है 7 रिलीज के बाद पैच घंटे

पोलैंड स्थित सुरक्षा फर्म सुरक्षा अन्वेषण से सुरक्षा शोधकर्ताओं ने गुरुवार को जारी जावा 7 सुरक्षा अद्यतन में एक भेद्यता की खोज की है जिसका दावा जावा सैंडबॉक्स से बचने और मनमाने ढंग से कोड निष्पादित करने के लिए किया जा सकता है अंतर्निहित प्रणाली पर।

सिक्योरिटी एक्सप्लोरेशंस ने शुक्रवार को ओरेकल को भेद्यता के बारे में एक रिपोर्ट भेजी, जिसमें सबूत-ऑफ-अवधारणा शोषण, एडम गौडियाक, सुरक्षा कंपनी के संस्थापक और सीईओ ने शुक्रवार को ईमेल के माध्यम से कहा।

कंपनी नहीं गौरीक ने कहा, जब तक ओरेकल ने इसे संबोधित नहीं किया, तब तक भेद्यता के बारे में किसी भी तकनीकी विवरण को सार्वजनिक रूप से जारी करने की योजना नहीं है।

[आगे पढ़ें: मैलवेयर को कैसे हटाएं आपका विंडोज पीसी]

जावा 7 अपडेट 7 जारी करने के लिए गुरुवार को ओरेकल अपने नियमित चार महीने के पैचिंग चक्र से बाहर हो गया, एक आपातकालीन सुरक्षा अद्यतन जो तीन भेद्यता को संबोधित करता है, जिसमें दो हमलेकर्ताओं द्वारा मैलवेयर के साथ कंप्यूटर को संक्रमित करने के लिए शोषण किया जा रहा था पिछले हफ्ते।

जावा 7 अपडेट 7 ने "सुरक्षा-गहराई से मुद्दा" भी लगाया, जो ओरेकल के मुताबिक सीधे शोषण योग्य नहीं था, लेकिन अन्य भेद्यता के प्रभाव को बढ़ाने के लिए इस्तेमाल किया जा सकता था।

पैचिंग उस "सुरक्षा-गहराई से मुद्दे", जिसे गौडियाक ने "शोषण वेक्टर" कहा है, पोलिश सुरक्षा फर्म द्वारा ओरेकल को पहले सबमिट किए गए सबूत-ऑफ-अवधारणा (पीओसी) जावा वर्चुअल मशीन (जेवीएम) सुरक्षा बाईपास शोषण प्रदान करता है , अप्रभावी।

गौडियाक के मुताबिक, सुरक्षा अन्वेषण ने निजी रूप से अप्रैल में ओरेकल को 2 9 में कमजोरियों की सूचना दी, जिसमें उन दोनों शामिल हैं जिन्हें अब हमलावरों द्वारा सक्रिय रूप से शोषित किया जाता है।

रिपोर्ट के साथ कुल 16 सबूत- की-conce पीटी शोषण जो उन कमजोरियों को संयुक्त रूप से जावा सैंडबॉक्स को बाईपास करने और अंतर्निहित सिस्टम पर मनमाने ढंग से कोड निष्पादित करने के लिए संयुक्त करते हैं।

सूर्य के कार्यान्वयन से getField और getMethod विधियों को हटाने। जावा में SunToolkit क्लास 7 अद्यतन 7 अक्षम सभी गौडियाक ने कहा कि सुरक्षा एक्सप्लोरेशंस के पीओसी शोषण के बारे में गौडियाक ने कहा।

हालांकि, यह केवल इसलिए हुआ क्योंकि "शोषण वेक्टर" हटा दिया गया था, क्योंकि शोषण द्वारा लक्षित सभी भेद्यता को पेटेंट नहीं किया गया था।

सुरक्षा द्वारा खोजी गई नई भेद्यता जावा 7 अपडेट 7 में एक्सप्लोरेशन को एक पूर्ण जेवीएम सैंडबॉक्स बायपास को फिर से प्राप्त करने के लिए ओरेकल द्वारा छोड़े गए कुछ भेद्यताओं के साथ जोड़ा जा सकता है।

"एक बार जब हमने पाया कि हमारे पूर्ण जावा सैंडबॉक्स बाईपास कोड अपडेट लागू होने के बाद काम करना बंद कर दिया है, तो हम गौकियाक ने कहा, पीओसी कोड पर फिर से देखा और फिर से नवीनतम जावा अपडेट को पूरी तरह से तोड़ने के संभावित तरीकों के बारे में सोचना शुरू कर दिया। "एक नया विचार आया, यह सत्यापित किया गया था और यह पता चला कि यह था।"

गौडियाक को नहीं पता कि ओरेकल अप्रैल में सुरक्षा अन्वेषण द्वारा रिपोर्ट की गई शेष भेद्यताओं को संबोधित करने की योजना बना रहा है या सुरक्षा कंपनी द्वारा प्रस्तुत नया शुक्रवार को।

यह स्पष्ट नहीं है कि ओरेकल अक्टूबर में एक नया जावा सुरक्षा अद्यतन जारी करेगा जैसा कि पहले की योजना है। कंपनी ने तुरंत टिप्पणी के लिए अनुरोध वापस नहीं किया।

सुरक्षा शोधकर्ताओं ने हमेशा चेतावनी दी है कि अगर विक्रेताओं को एक रिपोर्ट भेद्यता को हल करने में बहुत अधिक समय लगता है तो इस दौरान बुरे लोगों द्वारा यह पता लगाया जा सकता है, अगर वे पहले से ही नहीं जानते हैं इसके बारे में।

यह अलग-अलग बग शिकारी के लिए स्वतंत्र रूप से एक ही उत्पाद में समान भेद्यता को खोजने के लिए कई अवसरों पर हुआ और जावा 7 अपडेट द्वारा संबोधित किए गए दो सक्रिय रूप से शोषित जावा भेद्यता के मामले में यह भी हो सकता है 7.

"स्वतंत्र खोजों को कभी भी बाहर नहीं किया जा सकता है," गौडियाक ने कहा। "यह विशिष्ट मुद्दा [नई भेद्यता] हालांकि खोजने के लिए थोड़ा और मुश्किल हो सकता है।"

गौडियाक ने कहा कि जावा स्पष्टीकरण के शिकार के साथ सुरक्षा अन्वेषण शोधकर्ताओं के अनुभव के आधार पर जावा 6 की जावा 7 की तुलना में बेहतर सुरक्षा है। "जावा 7 हमारे लिए तोड़ने के लिए आश्चर्यजनक रूप से बहुत आसान था।" "जावा 6 के लिए, हमने जावा सॉफ़्टवेयर के लिए ऐप्पल क्विकटाइम में मिली समस्या को छोड़कर, पूर्ण सैंडबॉक्स समझौता हासिल करने का प्रबंधन नहीं किया।"

गौडियाक ने प्रतिबिंबित किया है कि कितने सुरक्षा शोधकर्ताओं ने पहले कहा है: यदि आपको आवश्यकता नहीं है जावा, इसे अपने सिस्टम से अनइंस्टॉल करें।