IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Plus de 6 millions d'attaques ont visé Java au 3e trimestre 2010
Microsoft constate une "vague sans précédent"

Le , par Katleen Erna

23PARTAGES

2  0 
Plus de 6 millions d'attaques ont visé Java au 3ème trimestre 2010, Microsoft constate une "vague sans précédent"

Dans le cadre de sa politique d'interopérabilité, Microsoft jette un oeil aux produits qui ne sont pas les siens mais qui fonctionnent avec Windows, comme Java, cette technologie qui appartient désormais à Oracle.

Hier, le MMPC (Microsoft Malware Protection Center) a dressé un bilan de cette observation. On apprend ainsi que les attaques contre Java ont connu une grande multiplication à partir du deuxième trimestre 2010 jusqu’à atteindre un pic de plus de 6 millions au cours du troisième trimestre. Des chiffres impressionnants, qui font froid dans les circuits électriques.

Et ces attaques massives exploiteraient presque toutes trois vulnérabilités connues, qui ont d'ailleurs été corrigées par Microsoft. Gare alors aux personnes et aux organisations dont les postes ne sont pas à jour : ils sont la proie des hackers, et mêmes leurs cibles préférées.



Comme Java est une sorte de programme de fond, dont la visibilité est moindre puisqu'il s'exécute seul, les gens ont tendance à l'oublier...et à ne pas penser à le mettre à jour.

Dans ce contexte, les vulnérabilités CVE-2008-5353 (liée à une faille JRE (Java Runtime Environment) qui permet l’exécution de code distant à partir d’un navigateur (supportant Java) sur Windows, Mac OS comme Linux)

et CVE-2009-3867 (autorise également la prise de contrôle à distance, multi-plateforme, à partir d’une analyse incorrecte de fichiers longs)

ont respectivement été touchées par plus de 3,5 millions et 2,6 millions d’attaques.

Ce qui reste malgré tout moins important que les attaques générées par le terrible Zeus.

Source : MMPC

Pourquoi les attaques contre Java ne remontent pas plus fréquemment à la connaissance des entreprises ?

Holly Stewart, chercheur au sein du MMPC, avance la théorie suivante : « Les éditeurs de solution de prévention d’intrusion (IPS/IDS) sont généralement ceux qui évoquent les premiers les nouveaux types d’exploitation, ont des difficultés avec l’analyse du code Java. Documents, fichiers multimédia, JavaScript - assurer leur protection est un vrai défi. Maintenant, pensez à l’idée d’intégrer un interpréteur Java dans un moteur anti-intrusion? L’impact sur les performances du réseau IPS pourrait être paralysant. Donc, les gens qui peuvent pointer l’augmentation des attaques éprouvent du mal à voir ce spectre particulier de la lumière. Appelez cela la cécité Java. » Qu'en pensez-vous ?

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de lequebecois79
Membre éclairé https://www.developpez.com
Le 20/10/2010 à 9:50
et pour .net, aucun problème de sécurité, bien sûr
3  2 
Avatar de trenton
Membre expérimenté https://www.developpez.com
Le 20/10/2010 à 10:00
Citation Envoyé par Katleen Erna Voir le message
Dans le cadre de sa politique d'interopérabilité, Microsoft [...]
C'est quoi leur définition d'interopérabilité ?
2  1 
Avatar de stardeath
Expert confirmé https://www.developpez.com
Le 20/10/2010 à 10:09
Citation Envoyé par vintz72 Voir le message
C'est des conneries. Sur les 6 millions d'attaques, combien passent ? Et sur quelle JVM ? Celle de Microsoft ? Sans doute...
Je ne fais absolument pas confiance en Microsoft pour dire des vérités sur les produits concurrents aux siens. Les chiffres sont peut-être vrais, mais sortis de leur contexte, ils ne veulent rien dire du tout.
les infos que tu demandes en précision sont dans le post ainsi que dans la source :
- CVE-2008-5353 : The Java Runtime Environment (JRE) for Sun JDK and JRE 6 Update 10 and earlier; JDK and JRE 5.0 Update 16 and earlier; and SDK and JRE 1.4.2_18 and earlier does not properly enforce context of ZoneInfo objects during deserialization, which allows remote attackers to run untrusted applets and applications in a privileged context, as demonstrated by "deserializing Calendar objects".
- CVE-2009-3867 : Stack-based buffer overflow in the HsbParser.getSoundBank function in Sun Java SE in JDK and JRE 5.0 before Update 22, JDK and JRE 6 before Update 17, SDK and JRE 1.3.x before 1.3.1_27, and SDK and JRE 1.4.x before 1.4.2_24 allows remote attackers to execute arbitrary code via a long file: URL in an argument, aka Bug Id 6854303.
etc.

mais bon critiquons tout de suite sans même prendre le temps de vérifier les infos.
1  0 
Avatar de _skip
Expert éminent https://www.developpez.com
Le 20/10/2010 à 10:11
Citation Envoyé par vintz72 Voir le message
C'est des conneries. Sur les 6 millions d'attaques, combien passent ? Et sur quelle JVM ? Celle de Microsoft ? Sans doute...
Cela commence à faire un moment qu'il n'y a plus de JVM microsoft, la dernière était en EOL en 2007.

Citation Envoyé par lequebecois79

et pour .net, aucun problème de sécurité, bien sûr
Je m'excuse mais je ne vois pas ce que .net vient faire là-dedans. Le point de l'article c'est que des petits malins visent la JRE ce qui est tout à fait normal sachant qu'elle équipe un gros pourcentage des PC.

Par ailleurs il est aussi vrai qu'un navigateur peut, via la JRE, exécuter du bytecode java et que le contenu de ce code (ou plutôt son intention) est difficilement vérifiable par un outil de protection. Perso ça me paraît tout à fait réaliste comme propos.

Pas la peine de lancer des trolls sur .Net juste parce que l'information vient de microsoft.
1  0 
Avatar de
https://www.developpez.com
Le 20/10/2010 à 11:42
Citation Envoyé par Katleen Erna Voir le message

Comme Java est une sorte de programme de fond, dont la visibilité est moindre puisqu'il s'exécute seul, les gens ont tendance à l'oublier...et à ne pas penser à le mettre à jour.
Avec un pluggin java dans le navigateur, et beaucoup d'attaques passent par le navigateur, ce que personne ne sait c'est une cible idéale.
1  0 
Avatar de vintz72
Membre averti https://www.developpez.com
Le 20/10/2010 à 9:17
C'est des conneries. Sur les 6 millions d'attaques, combien passent ? Et sur quelle JVM ? Celle de Microsoft ? Sans doute...
Je ne fais absolument pas confiance en Microsoft pour dire des vérités sur les produits concurrents aux siens. Les chiffres sont peut-être vrais, mais sortis de leur contexte, ils ne veulent rien dire du tout.
4  4 
Avatar de Shionigami
Membre régulier https://www.developpez.com
Le 20/10/2010 à 12:32
Citation Envoyé par vintz72 Voir le message
C'est des conneries. Sur les 6 millions d'attaques, combien passent ? Et sur quelle JVM ? Celle de Microsoft ? Sans doute...
Je ne fais absolument pas confiance en Microsoft pour dire des vérités sur les produits concurrents aux siens. Les chiffres sont peut-être vrais, mais sortis de leur contexte, ils ne veulent rien dire du tout.
"les vulnérabilités CVE-2008-5353 (liée à une faille JRE (Java Runtime Environment) qui permet l’exécution de code distant à partir d’un navigateur (supportant Java) sur Windows, Mac OS comme Linux)"

Je pense que c'est l'info que tu cherches nan ?
0  0 
Avatar de Nyark
Membre régulier https://www.developpez.com
Le 20/10/2010 à 13:54
Quand on regarde la courbe, le premier regain d'attaques date du 3ème trimestre 2009, époque à laquelle la fusion oracle-sun a été validée.
La deuxième cassure dans la courbe doit s'expliquer par une des crasses d'Oracle (qui sont bien nombreuses en ces temps incertains).
Mais je suis peut-être mauvaise langue, il n'y a peut-être pas de relation.
0  0 
Avatar de air-dex
Membre expert https://www.developpez.com
Le 21/10/2010 à 0:12
Citation Envoyé par _skip Voir le message
Je m'excuse mais je ne vois pas ce que .net vient faire là-dedans.
.NET a quand même pour principal concurrent un certain... Java !

Microsoft tire sur l'ambulance tout en tirant la couverture à lui dans l'inconscient des informaticiens qui vont penser en bien à .NET dans le cas de cet article.
0  0 
Avatar de publicStaticVoidMain
Membre confirmé https://www.developpez.com
Le 22/10/2010 à 13:12
Citation Envoyé par valkirys Voir le message
Avec un pluggin java dans le navigateur, et beaucoup d'attaques passent par le navigateur, ce que personne ne sait c'est une cible idéale.
Il faut pas aussi oublier les technos Web Java (serveurs Tomcat, Jetty, etc, pages JSP, jsf). Donc ca m'étonne pas trop.
0  0