Plus de 6 millions d'attaques ont visé Java au 3e trimestre 2010
Microsoft constate une "vague sans précédent"
Le 2010-10-19 22:59:29, par Katleen Erna, Expert éminent sénior
Plus de 6 millions d'attaques ont visé Java au 3ème trimestre 2010, Microsoft constate une "vague sans précédent"
Dans le cadre de sa politique d'interopérabilité, Microsoft jette un oeil aux produits qui ne sont pas les siens mais qui fonctionnent avec Windows, comme Java, cette technologie qui appartient désormais à Oracle.
Hier, le MMPC (Microsoft Malware Protection Center) a dressé un bilan de cette observation. On apprend ainsi que les attaques contre Java ont connu une grande multiplication à partir du deuxième trimestre 2010 jusqu’à atteindre un pic de plus de 6 millions au cours du troisième trimestre. Des chiffres impressionnants, qui font froid dans les circuits électriques.
Et ces attaques massives exploiteraient presque toutes trois vulnérabilités connues, qui ont d'ailleurs été corrigées par Microsoft. Gare alors aux personnes et aux organisations dont les postes ne sont pas à jour : ils sont la proie des hackers, et mêmes leurs cibles préférées.
Comme Java est une sorte de programme de fond, dont la visibilité est moindre puisqu'il s'exécute seul, les gens ont tendance à l'oublier...et à ne pas penser à le mettre à jour.
Dans ce contexte, les vulnérabilités CVE-2008-5353 (liée à une faille JRE (Java Runtime Environment) qui permet l’exécution de code distant à partir d’un navigateur (supportant Java) sur Windows, Mac OS comme Linux)
et CVE-2009-3867 (autorise également la prise de contrôle à distance, multi-plateforme, à partir d’une analyse incorrecte de fichiers longs)
ont respectivement été touchées par plus de 3,5 millions et 2,6 millions d’attaques.
Ce qui reste malgré tout moins important que les attaques générées par le terrible Zeus.
Source : MMPC
Holly Stewart, chercheur au sein du MMPC, avance la théorie suivante : « Les éditeurs de solution de prévention d’intrusion (IPS/IDS) sont généralement ceux qui évoquent les premiers les nouveaux types d’exploitation, ont des difficultés avec l’analyse du code Java. Documents, fichiers multimédia, JavaScript - assurer leur protection est un vrai défi. Maintenant, pensez à l’idée d’intégrer un interpréteur Java dans un moteur anti-intrusion? L’impact sur les performances du réseau IPS pourrait être paralysant. Donc, les gens qui peuvent pointer l’augmentation des attaques éprouvent du mal à voir ce spectre particulier de la lumière. Appelez cela la cécité Java. » Qu'en pensez-vous ?
Dans le cadre de sa politique d'interopérabilité, Microsoft jette un oeil aux produits qui ne sont pas les siens mais qui fonctionnent avec Windows, comme Java, cette technologie qui appartient désormais à Oracle.
Hier, le MMPC (Microsoft Malware Protection Center) a dressé un bilan de cette observation. On apprend ainsi que les attaques contre Java ont connu une grande multiplication à partir du deuxième trimestre 2010 jusqu’à atteindre un pic de plus de 6 millions au cours du troisième trimestre. Des chiffres impressionnants, qui font froid dans les circuits électriques.
Et ces attaques massives exploiteraient presque toutes trois vulnérabilités connues, qui ont d'ailleurs été corrigées par Microsoft. Gare alors aux personnes et aux organisations dont les postes ne sont pas à jour : ils sont la proie des hackers, et mêmes leurs cibles préférées.
Comme Java est une sorte de programme de fond, dont la visibilité est moindre puisqu'il s'exécute seul, les gens ont tendance à l'oublier...et à ne pas penser à le mettre à jour.
Dans ce contexte, les vulnérabilités CVE-2008-5353 (liée à une faille JRE (Java Runtime Environment) qui permet l’exécution de code distant à partir d’un navigateur (supportant Java) sur Windows, Mac OS comme Linux)
et CVE-2009-3867 (autorise également la prise de contrôle à distance, multi-plateforme, à partir d’une analyse incorrecte de fichiers longs)
ont respectivement été touchées par plus de 3,5 millions et 2,6 millions d’attaques.
Ce qui reste malgré tout moins important que les attaques générées par le terrible Zeus.
Source : MMPC
Holly Stewart, chercheur au sein du MMPC, avance la théorie suivante : « Les éditeurs de solution de prévention d’intrusion (IPS/IDS) sont généralement ceux qui évoquent les premiers les nouveaux types d’exploitation, ont des difficultés avec l’analyse du code Java. Documents, fichiers multimédia, JavaScript - assurer leur protection est un vrai défi. Maintenant, pensez à l’idée d’intégrer un interpréteur Java dans un moteur anti-intrusion? L’impact sur les performances du réseau IPS pourrait être paralysant. Donc, les gens qui peuvent pointer l’augmentation des attaques éprouvent du mal à voir ce spectre particulier de la lumière. Appelez cela la cécité Java. » Qu'en pensez-vous ?
-
lequebecois79Membre éclairéet pour .net, aucun problème de sécurité, bien sûrle 20/10/2010 à 9:50
-
trentonMembre expérimentéle 20/10/2010 à 10:00
-
stardeathExpert confirméles infos que tu demandes en précision sont dans le post ainsi que dans la source :
- CVE-2008-5353 : The Java Runtime Environment (JRE) for Sun JDK and JRE 6 Update 10 and earlier; JDK and JRE 5.0 Update 16 and earlier; and SDK and JRE 1.4.2_18 and earlier does not properly enforce context of ZoneInfo objects during deserialization, which allows remote attackers to run untrusted applets and applications in a privileged context, as demonstrated by "deserializing Calendar objects".
- CVE-2009-3867 : Stack-based buffer overflow in the HsbParser.getSoundBank function in Sun Java SE in JDK and JRE 5.0 before Update 22, JDK and JRE 6 before Update 17, SDK and JRE 1.3.x before 1.3.1_27, and SDK and JRE 1.4.x before 1.4.2_24 allows remote attackers to execute arbitrary code via a long file: URL in an argument, aka Bug Id 6854303.
etc.
mais bon critiquons tout de suite sans même prendre le temps de vérifier les infos.le 20/10/2010 à 10:09 -
_skipExpert éminentCela commence à faire un moment qu'il n'y a plus de JVM microsoft, la dernière était en EOL en 2007.Je m'excuse mais je ne vois pas ce que .net vient faire là-dedans. Le point de l'article c'est que des petits malins visent la JRE ce qui est tout à fait normal sachant qu'elle équipe un gros pourcentage des PC.
Envoyé par lequebecois79
Par ailleurs il est aussi vrai qu'un navigateur peut, via la JRE, exécuter du bytecode java et que le contenu de ce code (ou plutôt son intention) est difficilement vérifiable par un outil de protection. Perso ça me paraît tout à fait réaliste comme propos.
Pas la peine de lancer des trolls sur .Net juste parce que l'information vient de microsoft.le 20/10/2010 à 10:11 -
Avec un pluggin java dans le navigateur, et beaucoup d'attaques passent par le navigateur, ce que personne ne sait c'est une cible idéale.le 20/10/2010 à 11:42
-
vintz72Membre avertiC'est des conneries. Sur les 6 millions d'attaques, combien passent ? Et sur quelle JVM ? Celle de Microsoft ? Sans doute...
Je ne fais absolument pas confiance en Microsoft pour dire des vérités sur les produits concurrents aux siens. Les chiffres sont peut-être vrais, mais sortis de leur contexte, ils ne veulent rien dire du tout.le 20/10/2010 à 9:17 -
ShionigamiMembre régulier"les vulnérabilités CVE-2008-5353 (liée à une faille JRE (Java Runtime Environment) qui permet l’exécution de code distant à partir d’un navigateur (supportant Java) sur Windows, Mac OS comme Linux)"
Je pense que c'est l'info que tu cherches nan ?le 20/10/2010 à 12:32 -
NyarkMembre régulierQuand on regarde la courbe, le premier regain d'attaques date du 3ème trimestre 2009, époque à laquelle la fusion oracle-sun a été validée.
La deuxième cassure dans la courbe doit s'expliquer par une des crasses d'Oracle (qui sont bien nombreuses en ces temps incertains).
Mais je suis peut-être mauvaise langue, il n'y a peut-être pas de relation.le 20/10/2010 à 13:54 -
air-dexMembre expert.NET a quand même pour principal concurrent un certain... Java !
Microsoft tire sur l'ambulance tout en tirant la couverture à lui dans l'inconscient des informaticiens qui vont penser en bien à .NET dans le cas de cet article.le 21/10/2010 à 0:12 -
publicStaticVoidMainMembre confirméIl faut pas aussi oublier les technos Web Java (serveurs Tomcat, Jetty, etc, pages JSP, jsf). Donc ca m'étonne pas trop.le 22/10/2010 à 13:12