又是一周,又一个Java安全漏洞被发现

英文原文:Another Week, Another Java Security Issue Found

波兰一家新创建的公司 Security Explorations 最近发现了 Java 又一个安全漏洞,黑客可以通过此漏洞避开一些关键性的安全检查措施。受该漏洞影响的 Java 版本包括 Java SE 5、6和7。据该公司透露,以下是容易受到攻击的 Java 版本:

Security Explorations 公司的 Adam Gowdiak这样写道:“该漏洞是非常危险的——我们已经成功地开发并完成了一套,可运行于 Java SE 5、6和 7 环境中的 Java 安全沙盒。”

Security Explorations 在一台 32 位 Windows 7 系统上,分别对 Chrome、Firefox、IE、Opera 和 Safari 进行了漏洞检测试验。Gowdiak 对 InfoQ 确认道:“虽然试验只是在 32 位的 Windows 7 系统上进行,但该漏洞是与平台无关的,只要该平台上安装有内置 Java 插件的浏览器,那么该漏洞都会出现。”

至于该漏洞会允许黑客们做些什么,Gowdiak 告诉 InfoQ:

一些恶意的 Java applet 或者应用程序可以在没有限制的情况下在 Java 进程中运行,比如浏览器。这样,黑客们便可以在这样的进程中安装一些程序,并使用登陆用户的权限来查看、修改甚至删除数据。作为验证,我们成功的创建了一个文件并执行了“notepad.exe”。

Security Explorations 已经找到了 50 处由该漏洞引起的瑕疵,可查看关于此问题的时间线。对于这 50 处瑕疵,Gowdiak 告诉我们:

上个月,Oracle 又发现了另外一处,并为其打了一个 patch。据报道,Oracle 在 4 个月前就已经意识到了这个最新安全漏洞的危害性,Oracle 也已经确认了该漏洞的存在。Gowdiak 还表示,他们正在评估修复方案,希望在 Java SE 的下次(2012年 10 月 16 号)更新发布中会包含此修复。对此,我们已经联系过了 Oracle,但到此文发布时,仍然没有收到任何回复。