Data: Sobota, 18 lipca 2015, 14:55

Java - załataj albo wyłącz

Adobe i Microsoft musiały w tym miesiącu załatać podatności ujawnione przy okazji wycieku z Hacking Teamu, firmy tworzącej trojany na potrzeby rządów różnych krajów. Oracle zajęła się natomiast luką wykorzystywaną przez grupę Pawn Storm, znaną z ataków na agencje rządowe USA i państw sojuszniczych.

Pawn Storm działa prawdopodobnie od 2007 roku, stosując coś jakby internetową wersję taktyki żabich skoków (ang. Leapfrogging albo Island Hopping). Innymi słowy, koncentruje się nie bezpośrednio na celu, ale na przejmowaniu innych, słabiej zabezpieczonych podmiotów, które mogą z nim współpracować. Amerykanie użyli tej taktyki po raz pierwszy w czasie II wojny światowej, walcząc z Japończykami na Pacyfiku.



Pawn Storm może mieć jednak rosyjskie korzenie - taki wniosek wysnuli badacze z Trend Micro, patrząc na dobierane przez grupę cele. Przypisywane jej ataki obejmują wojskowe, rządowe i medialne organizacje w USA oraz krajach członkowskich NATO (również w Polsce), ale także rosyjskich dysydentów i ukraińskich aktywistów.

Pod koniec ubiegłego tygodnia eksperci z Trend Micro zidentyfikowali wykorzystywaną przez Pawn Storm lukę w Javie, której nadano oznaczenie CVE-2015-2590. Oracle sprężył się i załatał ją już we wtorek, tego dnia ukazał się bowiem wydawany co kwartał biuletyn zabezpieczeń.

Nie pamiętacie, czy instalowaliście w swoim systemie Javę? Wystarczy odwiedzić stronę java.com i skorzystać z widocznego na niej odnośnika „Czy mam zainstalowane oprogramowanie Java?”. Jeżeli okaże się, że tak, warto ją zaktualizować - oprócz wspomnianej wyżej luki najnowsza poprawka usuwa też 24 inne podatności (niemal wszystkie mogą zostać wykorzystane zdalnie). Zalecana wersja oznaczona jest jako Java 8 Update 51.

Zawsze oczywiście można całkiem odinstalować Javę lub wyłączyć ją w używanej przeglądarce. Przed złośliwymi skryptami warto się zabezpieczyć, instalując odpowiednią wtyczkę.

To nie wszystko. Wydany w tym tygodniu Oracle Critical Patch Update Advisory dotyczy nie tylko dziur w Javie. Firma usunęła łącznie 193 luki m.in. w swoich systemach bazodanowych oraz w takich produktach, jak Fusion Middleware, E-Business Suite, Supply Chain, PeopleSoft Enterprise, Siebel czy iLearning. Część z nich umożliwia atakującemu przejęcie kontroli nad podatnym systemem, aktualizacji nie należy więc lekceważyć.

Anna Wasilewska-Śpioch