Gevaarlijk lek in Java blijft weer open!

[Black Tiger]

Oracle heeft weer een gevaarlijk lek laten open liggen bij Java.

Advies: Deinstalleer alle java versies totdat je het perse nodig hebt!

Het probleem is namelijk dat Oracle bijna op het asociale af patcht, anders gezegd slechts elk kwartaal (elke 3 maanden dus), ongeacht of het lek nu klein is of van enorm belang.

In Java 7 zaten al een 50 gaten, daarvan zijn er nu 30 gedicht, maar een hele gevaarlijke is open gebleven. Het betreft een lek waarmee de sandbox van Java omzeild kan worden. Hiermee kunnen kwaadwillenden relatief eenvoudig de hele computer overnemen.

Een rootkit installeren of zoals velen al hebben meegemaakt het KLPD virus (of varianten) of Dorifel installeren, noem maar op. Met name Java 6 werd daar al voor misbruikt.

Het is niet de eerste keer dat Java een kritiek lek open laat staan, dat was deze zomer ook al eens het geval.

Volgens Oracle waren ze al bijna klaar met het testen van de beveiligingsupdate van oktober, toen de melding van het lek binnen kwam. Daardoor kon het niet meer worden meegenomen in de update.

Het beveiligingslek is aanwezig in Java SE-versies 5, 6 en 7 en zal dus pas in 19 februari 2013 gefixed worden.

Een fatsoenlijk bedrijf zou bij zo'n gevaarlijk lek een extra patchronde inlassen.

Gezien de zeer lange periode waarop je systeem dus open staat, zou ik adviseren om Java te deinstalleren. In de meeste gevallen heb je het toch niet nodig.

Het zegt in elk geval wel iets over het bedrijfsbeleid van Oracle en dat is niet bepaald positief te noemen.

 

[aart44]

Krijg net een uurtje geleden een melding dat er een Java update is heb hem geupdate en heb nu versie 6 update 37 dus build 1.6.0._37-b06.

Dus die is onveilig, haal hem er wel af als hij nodig is kan ik hem er altijd nog opzetten.

 

[Bones]

Hey jongens, bedankt voor de tip!

 

[Black Tiger]

@Aart: Java 6 is sowieso erg onveilig, geupdate of niet.

Ik vraag me sowieso af waarom Oracal nog Java 6 ondersteuning biedt, terwijl Java 7 al een tijd lang in omloop is.

Iedereen die Java 6 nog op de pc heeft staan is ongeacht welke update ze hebben (zelfs de nieuwste) bevattelijk voor de beruchte ransom virussen (KLPD trojan en varianten).

Helaas blijkt dat inmiddels met Java 7 ook het geval, alleen weet ik niet of dat nu met de laatste update ook gefixed is.

Als men geen spelletjes op websites doet heeft men over het algemeen geen Java nodig en kan men hem beter er af kiepen, in elk geval minstens tot februari.

Mocht men iets tegen komen waarbij men wel java nodig heeft, dan komt er vanzelf wel een melding in beeld. Aart44 heeft daar volkomen gelijk in. Voorkomen is beter dan genezen.

Nog een andere tip voor de liefhebber, installeer Secunia PSI. Een tooltje wat met je windows mee draait en aangeeft wat er onveilig of te zeer verouderd is.

Heel soms een false positive zoals nu met 1 windows update, maar over het algemeen erg accuraat.

Je kunt er ook van updaten maar ik zou de automatische update optie voor de software uitschakelen en handmatig via de betreffende websites van de software updaten, dat werkt over het algemeen iets beter.

Maar het tooltje is zeer goed om je systeem up2date en daarmee veiliger te houden. Daarnaast is het ook nog eens gratis.

 

[Black Tiger]

Ik heb zojuist Secunia PSI 3.0 eens geprobeerd, maar deze nieuwe versie werkt niet zo lekker als het zou moeten.

Daarom is het misschien beter om Secunia PSI 2.0 te installeren, qua bescherming werkt dat even goed, maar deze is ook stabieler.

Op mijn systeem ben ik ook snel teruggegaan naar 2.0.

 

[Bones]

Ik had m dus te pakken!

Ik draai met Win7 en mijn antivirus is van Microsoft Security Essentials.

Nadat ik de tip van BT had gelezen, heb ik Java6 verwijderd (eerst uit mijn programma-onderdelen, via de lijst Programma verwijderen), daarna vanuit mijn Program Files van mijn C-schijf (die Java-map was niet helemaal leeg).

Dus heel Java had ik verwijderd.

Vanmorgen deed ik een volledige scan via mijn antivirus en ik kreeg bovengenoemd virus te zien.

Uiteraard heb ik die virus meteen verwijderd.

Hij werd weergegeven als:

Categorie: Misbruik.

Beschrijving: Dit programma is gevaarlijk en misbruikt de computer waarop het wordt uitgevoerd.

Aanbevolen actie: Deze software onmiddelijk verwijderen.

Hij stond in: Containerfile:C:\Users\dan mijn naam\AppData\Local\Temp\jar_cache (dan een heleboel cijfers).tmp

Er onder staat:

file:C\Users\dan mijn naam\AppData\Local\Temp\jar_cache (dan een heleboel cijfers).tmp->apple/applet.clas

In ieder geval ben ik m nu kwijt.

Nogmaals dank BT!

 

[Black Tiger]

Oei, die Microsoft Essentials is ook niet meer van de beste, das war ein mal.

Je kunt beter Avast installeren, die doet het nu erg goed, of als je af en toe een popup niet erg vindt, Avira of AVG.

Voor de rest graag gedaan, misschien is het handig om ook nog even een scan met Malware Bytes te doen.

 

[Multispeed †]

V.w.b. Java.

Wij zijn zonder er inspraak in te hebben gehad overgeheveld van ABN AMRO naar

De Deutsche Bank. Volgens zeggen door Europese regelgeving.

Lekker hoor sinds dat moment een en al ellende.

Ik zal niets intypen over die ellende, is heel erg slecht voor mijn bloeddruk.

Zoeken op google naar "Deutsche bank ellende" maakt alles duidelijk.

Die Deutsche Bank adviseert om de laatste Java versie te installeren, komt namelijk

steeds in beeld zodra ik inlog.

Daar wordt het sneller van beweren ze, zal best, toch maar niet gedownload die

laatste Java versie.

Verbazingwekkend dat zo een internationale bank niets weet van een lek.

Multispeed

 

[Black Tiger]

Er is inderdaad al een en ander op het nieuws geweest van die overname en de problemen die er nog steeds zijn met de software en andere zaken.

Verbazingwekkend dat zo een internationale bank niets weet van een lek.

Volgens mij weten ze wel van de lekken maar wordt dit niet naar de klant gecommuniceerd. Het zou de zaak immers alleen nog moeilijker maken als zij adviseren om het te installeren, terwijl je dat juist feitelijk beter niet kan doen.

Ik vind het zelfs kwalijk dat zo'n grote bank überhaupt nog gebruikt maakt van Java. Een zichzelf respecterend bedrijf, zeker en met name een bank, zou dat soort externe addons waarvan bekend is dat ze vaker meerdere gaten hebben, gewoon niet moeten gebruiken voor hun website, betalingsacties of wat dan ook.

Java is gewoon totaal niet noodzakelijk voor dat soort dingen, dus waarom onveiligheid in huis halen als het niet hoeft? Voor een bedrijf is dat al slecht, voor een bank is dat gewoon kwalijk te noemen.

Dat getuigt van ondeskundig securitybeleid!