Discussion :

[Katleen Erna]

Plus de 6 millions d'attaques ont visé Java au 3ème trimestre 2010, Microsoft constate une "vague sans précédent"

Dans le cadre de sa politique d'interopérabilité, Microsoft jette un oeil aux produits qui ne sont pas les siens mais qui fonctionnent avec Windows, comme Java, cette technologie qui appartient désormais à Oracle.

Hier, le MMPC (Microsoft Malware Protection Center) a dressé un bilan de cette observation. On apprend ainsi que les attaques contre Java ont connu une grande multiplication à partir du deuxième trimestre 2010 jusqu’à atteindre un pic de plus de 6 millions au cours du troisième trimestre. Des chiffres impressionnants, qui font froid dans les circuits électriques.

Et ces attaques massives exploiteraient presque toutes trois vulnérabilités connues, qui ont d'ailleurs été corrigées par Microsoft. Gare alors aux personnes et aux organisations dont les postes ne sont pas à jour : ils sont la proie des hackers, et mêmes leurs cibles préférées.





Comme Java est une sorte de programme de fond, dont la visibilité est moindre puisqu'il s'exécute seul, les gens ont tendance à l'oublier...et à ne pas penser à le mettre à jour.

Dans ce contexte, les vulnérabilités CVE-2008-5353 (liée à une faille JRE (Java Runtime Environment) qui permet l’exécution de code distant à partir d’un navigateur (supportant Java) sur Windows, Mac OS comme Linux)

et CVE-2009-3867 (autorise également la prise de contrôle à distance, multi-plateforme, à partir d’une analyse incorrecte de fichiers longs)

ont respectivement été touchées par plus de 3,5 millions et 2,6 millions d’attaques.

Ce qui reste malgré tout moins important que les attaques générées par le terrible Zeus.

Source : MMPC

Pourquoi les attaques contre Java ne remontent pas plus fréquemment à la connaissance des entreprises ?

Holly Stewart, chercheur au sein du MMPC, avance la théorie suivante : « Les éditeurs de solution de prévention d’intrusion (IPS/IDS) sont généralement ceux qui évoquent les premiers les nouveaux types d’exploitation, ont des difficultés avec l’analyse du code Java. Documents, fichiers multimédia, JavaScript - assurer leur protection est un vrai défi. Maintenant, pensez à l’idée d’intégrer un interpréteur Java dans un moteur anti-intrusion? L’impact sur les performances du réseau IPS pourrait être paralysant. Donc, les gens qui peuvent pointer l’augmentation des attaques éprouvent du mal à voir ce spectre particulier de la lumière. Appelez cela la cécité Java. » Qu'en pensez-vous ?

[vintz72]

C'est des conneries. Sur les 6 millions d'attaques, combien passent ? Et sur quelle JVM ? Celle de Microsoft ? Sans doute...
Je ne fais absolument pas confiance en Microsoft pour dire des vérités sur les produits concurrents aux siens. Les chiffres sont peut-être vrais, mais sortis de leur contexte, ils ne veulent rien dire du tout.

[lequebecois79]

et pour .net, aucun problème de sécurité, bien sûr

[trenton]

Dans le cadre de sa politique d'interopérabilité, Microsoft [...]

C'est quoi leur définition d'interopérabilité ?

[stardeath]

C'est des conneries. Sur les 6 millions d'attaques, combien passent ? Et sur quelle JVM ? Celle de Microsoft ? Sans doute...
Je ne fais absolument pas confiance en Microsoft pour dire des vérités sur les produits concurrents aux siens. Les chiffres sont peut-être vrais, mais sortis de leur contexte, ils ne veulent rien dire du tout.

les infos que tu demandes en précision sont dans le post ainsi que dans la source :
- CVE-2008-5353 : The Java Runtime Environment (JRE) for Sun JDK and JRE 6 Update 10 and earlier; JDK and JRE 5.0 Update 16 and earlier; and SDK and JRE 1.4.2_18 and earlier does not properly enforce context of ZoneInfo objects during deserialization, which allows remote attackers to run untrusted applets and applications in a privileged context, as demonstrated by "deserializing Calendar objects".
- CVE-2009-3867 : Stack-based buffer overflow in the HsbParser.getSoundBank function in Sun Java SE in JDK and JRE 5.0 before Update 22, JDK and JRE 6 before Update 17, SDK and JRE 1.3.x before 1.3.1_27, and SDK and JRE 1.4.x before 1.4.2_24 allows remote attackers to execute arbitrary code via a long file: URL in an argument, aka Bug Id 6854303.
etc.

mais bon critiquons tout de suite sans même prendre le temps de vérifier les infos.

[_skip]

C'est des conneries. Sur les 6 millions d'attaques, combien passent ? Et sur quelle JVM ? Celle de Microsoft ? Sans doute...

Cela commence à faire un moment qu'il n'y a plus de JVM microsoft, la dernière était en EOL en 2007.

et pour .net, aucun problème de sécurité, bien sûr

Je m'excuse mais je ne vois pas ce que .net vient faire là-dedans. Le point de l'article c'est que des petits malins visent la JRE ce qui est tout à fait normal sachant qu'elle équipe un gros pourcentage des PC.

Par ailleurs il est aussi vrai qu'un navigateur peut, via la JRE, exécuter du bytecode java et que le contenu de ce code (ou plutôt son intention) est difficilement vérifiable par un outil de protection. Perso ça me paraît tout à fait réaliste comme propos.

Pas la peine de lancer des trolls sur .Net juste parce que l'information vient de microsoft.

[Invité]

Comme Java est une sorte de programme de fond, dont la visibilité est moindre puisqu'il s'exécute seul, les gens ont tendance à l'oublier...et à ne pas penser à le mettre à jour.

Avec un pluggin java dans le navigateur, et beaucoup d'attaques passent par le navigateur, ce que personne ne sait c'est une cible idéale.

[Shionigami]

C'est des conneries. Sur les 6 millions d'attaques, combien passent ? Et sur quelle JVM ? Celle de Microsoft ? Sans doute...
Je ne fais absolument pas confiance en Microsoft pour dire des vérités sur les produits concurrents aux siens. Les chiffres sont peut-être vrais, mais sortis de leur contexte, ils ne veulent rien dire du tout.

"les vulnérabilités CVE-2008-5353 (liée à une faille JRE (Java Runtime Environment) qui permet l’exécution de code distant à partir d’un navigateur (supportant Java) sur Windows, Mac OS comme Linux)"

Je pense que c'est l'info que tu cherches nan ?

[Nyark]

Quand on regarde la courbe, le premier regain d'attaques date du 3ème trimestre 2009, époque à laquelle la fusion oracle-sun a été validée.
La deuxième cassure dans la courbe doit s'expliquer par une des crasses d'Oracle (qui sont bien nombreuses en ces temps incertains).
Mais je suis peut-être mauvaise langue, il n'y a peut-être pas de relation.

[air-dex]

Je m'excuse mais je ne vois pas ce que .net vient faire là-dedans.

.NET a quand même pour principal concurrent un certain... Java !

Microsoft tire sur l'ambulance tout en tirant la couverture à lui dans l'inconscient des informaticiens qui vont penser en bien à .NET dans le cas de cet article.

[publicStaticVoidMain]

Avec un pluggin java dans le navigateur, et beaucoup d'attaques passent par le navigateur, ce que personne ne sait c'est une cible idéale.

Il faut pas aussi oublier les technos Web Java (serveurs Tomcat, Jetty, etc, pages JSP, jsf). Donc ca m'étonne pas trop.