Oracle corrige en urgence une faille critique de plus dans Java

Sans foi sur le métier...

Le 05 mars 2013 à 10h00

3 min

Logiciel

Il y a quelques jours, la société de sécurité FireEye révélait une nouvelle faille de type 0-day dans Java. Pas de temps à perdre pour son éditeur, Oracle, qui diffuse aujourd’hui une mise à jour en urgence pour colmater la brèche. Une rapidité qui ne peut plus compenser la débâcle de ces derniers mois.

Depuis plusieurs mois, l’actualité autour de Java concerne essentiellement les multiples failles de sécurité qui y sont détectées. Beaucoup étaient de type 0day et elles étaient donc déjà exploitées activement lors de leur découverte. Il y a quelques jours, la société de sécurité FireEye a découvert une autre de ces brèches, avertissant dans la foulée Oracle de son caractère critique.

Les deux chercheurs à l’origine de la découverte, Darien Kindlund et Yichong Lin, ont indiqué dans un billet dédié que la faille pouvait être exploitée sur les versions les plus récentes de l’environnement Java, à savoir les 1.6 Update 41 et 1.7 Update 15. La faille est d’autant plus critique qu’elle est déjà exploitée de manière automatisée par le cheval de Troie McRat. Ce dernier peut s’installer sur la machine de l’utilisateur via une page web spécialement conçue d’une version vulnérable du plug-in Java dans le navigateur.

Il n’aura fallu cependant que quelques jours à Oracle pour colmater la brèche. Il s’agit véritablement d’un patch d’urgence déployé aussi bien pour Java 6 que pour Java 7, en passant par l'ancien Java 5 Update 40. Oracle précise sur son site web que le correctif s’occupe de plusieurs vulnérabilités et qu’il ne concerne pas les installations classiques de Java, le composant serveur ou encore les applications embarquées. Seul le plug-in pour les navigateurs est touché.

Les utilisateurs concernés peuvent récupérer le patch depuis le site officiel de l’éditeur.

Commentaires (34)

O.W.7x

Le 05/03/2013 à 10h09

A quand la version 8 ?

OlivierJ Abonné

Le 05/03/2013 à 10h11

On rappellera cependant (encore une fois) que les utilisateurs qui ne se servent jamais de Java ont tout intérêt à le désinstaller. Ceux qui en ont encore besoin, pour des questions de développement logiciel, ou plus simplement pour jouer à Minecraft, peuvent tout de même désactiver le plug-in dans le navigateur.

Les utilisateurs qui ne se servent jamais de Java ne risquent rien, donc pas la peine de désinstaller :) . De toutes façons les failles touchent l’aspect applet Java, qui sont rarement utilisées il me semble (et qu’on peut désactiver comme écrit).

Un point n’est pas clair pour moi, ça touche autre chose que les plateformes Windows cette faille ?

GuiTheGuy

Le 05/03/2013 à 10h13

Java, la blague la plus longue de l’histoire de l’informatique! " />

Inny Abonné

Le 05/03/2013 à 10h15

OlivierJ a écrit :

Les utilisateurs qui ne se servent jamais de Java ne risquent rien, donc pas la peine de désinstaller :) . De toutes façons les failles touchent l’aspect applet Java, qui sont rarement utilisées il me semble (et qu’on peut désactiver comme écrit).

Erreur, vu que le navigateur peut faire directement appel à java, alors si on n’en a pas l’usage, autant ne pas l’installer.

Jarodd Abonné

Le 05/03/2013 à 10h17

Sans foi sur le métier…

" />

Pour ceux qui suivent l’évolution de Java, est-ce que le support/réactivité sur ces corrections était mieux du temps où ce n’est pas Oracle qui était aux manettes ?

copaz

Le 05/03/2013 à 10h19

Microsoft doit être content " />

Le début de la fin pour Java…

Nithril

Le 05/03/2013 à 10h26

copaz a écrit :

Microsoft doit être content " />

Le début de la fin pour Java…

Il ne faut pas rêver non plus… " />

Gilbert_Gosseyn Abonné

Le 05/03/2013 à 10h27

N’empêche que Oracle répond rapidement.

GuiTheGuy

Le 05/03/2013 à 10h28

Le meilleur remède à Java, c’est d’essayer de coder proprement avec. Et ensuite d’essayer .NET. Ou n’importe quoi d’autre en fait. " />

neves

Le 05/03/2013 à 10h33

OlivierJ a écrit :

Les utilisateurs qui ne se servent jamais de Java ne risquent rien, donc pas la peine de désinstaller :) . De toutes façons les failles touchent l’aspect applet Java, qui sont rarement utilisées il me semble (et qu’on peut désactiver comme écrit).

Il y a encore un nombre inquiétant de personnes qui ont Java installé sans même le savoir (passe encore) et donc surtout le plugin Java en même temps (et là c’est grave). Ces personnes, qui ne se servent jamais de Java, ne vont pas le désactiver puisqu’elles ne savent même pas qu’elles l’ont. Heureusement que les navigateurs désactivement maintenant les versions trop vieilles du plugin Java.

OlivierJ a écrit :

Un point n’est pas clair pour moi, ça touche autre chose que les plateformes Windows cette faille ?

Oui. L’exploit est moins “stable” qu’avec les failles habituelles Java puisqu’il s’agit cette fois d’une corruption mémoire et non pas d’une faille de logique atteignable en “pur” Java.

Blood_Man

Le 05/03/2013 à 10h35

copaz a écrit :

Microsoft doit être content " />

Le début de la fin pour Java…

Ici on parle des applets, pas des clients lourds Java, ni des serveurs web Java. Donc peut-être oui, le début de la fin des applets Java, mais de Java dans son ensemble, pas vraiment non ^^.

Les 4x4 polluent trop et vont être interdits, le début de la fin pour les véhicules avec des roues…

Anonyme

Le 05/03/2013 à 11h23

GuiTheGuy a écrit :

JavaOracle, la blague la plus longue de l’histoire de l’informatique! " />

" />

OlivierJ Abonné

Le 05/03/2013 à 11h23

Inny a écrit :

Erreur, vu que le navigateur peut faire directement appel à java, alors si on n’en a pas l’usage, autant ne pas l’installer.

Il peut faire directement appel à Java lors de quelle activité ou opération ?

iFrancois Abonné

Le 05/03/2013 à 11h26

De toute façon l’évolution actuelle tend vers la disparition des applets Java et Flash au profit du full HTML 5. Ya qu’a regarder les derniers navigateurs, même IE 10 supporte énormément de fonctionnalités HTML 5. Dans quelques années tout ca ne sera plus qu’un mauvais souvenir … à moins que les failles des navigateurs prennent le relais " />

OlivierJ Abonné

Le 05/03/2013 à 11h27

NeVeS a écrit :

Il y a encore un nombre inquiétant de personnes qui ont Java installé sans même le savoir (passe encore) et donc surtout le plugin Java en même temps (et là c’est grave). Ces personnes, qui ne se servent jamais de Java, ne vont pas le désactiver puisqu’elles ne savent même pas qu’elles l’ont. Heureusement que les navigateurs désactivement maintenant les versions trop vieilles du plugin Java.

En effet pour la désactivation.

Cela dit, il faut quand même 2 conditions : accéder à un site qui comporte une applet Java, et que cette applet soit vérolée. Ça ne doit pas toucher grand monde, non ?

NeVeS a écrit :

Oui. L’exploit est moins “stable” qu’avec les failles habituelles Java puisqu’il s’agit cette fois d’une corruption mémoire et non pas d’une faille de logique atteignable en “pur” Java.

De là à exploiter un Linux il y a une marge, il faut que le “shell code” soit adapté à l’OS.

seboss666 Abonné

Le 05/03/2013 à 11h36

Avec l’activation des plugins a la demande ça mitige aussi pas mal la portée de l’attaque, dommage que ça soit pas plus répandu " />

Zlandy Abonné

Le 05/03/2013 à 12h08

La MaJ se fait toujours avec la proposition de la Ask Bar ?

Si oui, je me pose la question de quand Oracle virera cette m… de son installateur parce qu’en ce moment, j’ai une vague de Pc infecté par un paquet de malware à cause de cette daube inclue dans les dernières MaJ de Java…

Remarquez, tant mieux, ça me fait des sous à dépanner ces Pc, mais bon, éthiquement… :(

anonyme_5308cee4763677866e1421efa4474f79

Le 05/03/2013 à 12h15

Zlandy a écrit :

La MaJ se fait toujours avec la proposition de la Ask Bar ?

Si oui, je me pose la question de quand Oracle virera cette m… de son installateur parce qu’en ce moment, j’ai une vague de Pc infecté par un paquet de malware à cause de cette daube inclue dans les dernières MaJ de Java…

Remarquez, tant mieux, ça me fait des sous à dépanner ces Pc, mais bon, éthiquement… :(

Oui la barre Ask est toujours en opt-out actif dans l’installateur. Sur Win XP, lors de 2 màjs, je n’ai même pas vu la case à décocher, du coup, je m’en suis aperçu plus tard quand le moteur par défaut de Firefox était Ask et plus GG. " />

Khalev

Le 05/03/2013 à 12h25

iFrancois a écrit :

Dans quelques années tout ca ne sera plus qu’un mauvais souvenir … à moins que les failles des navigateurs prennent le relais " />

D’où l’intérêt d’avoir une grande diversité de navigateurs/moteurs de rendu.

B.O.R.E.T.'

Le 05/03/2013 à 12h26

OlivierJ a écrit :

Cela dit, il faut quand même 2 conditions : accéder à un site qui comporte une applet Java, et que cette applet soit vérolée. Ça ne doit pas toucher grand monde, non ?

Toujours le problème de fréquence et de gravité. C’est pas tous les jours que ça arrive, mais le jour où ça arrive tu t’en veux grave de pas avoir désactiver cette passoire dans le navigateur.

Ca m’est arrivé 2 fois de me faire véroler par une applet pourrie, 2 fois en cliquant juste sur un lien. La première fois c’était fhimt.com, lien suivi depuis un article de Reflets, la 2e fois, c’était le site d’un parti politique (je sais plus lequel).

Les 2 avaient été discrètement hackés, et les hackeurs avaient ajouté un appel à une applet externe en bidouillant un WordPress mal sécurisé. La première fois, j’ai pas compris ce qui m’était arrivé, la 2e fois je me suis dit ‘meeeerde pourquoi j’ai pas désactivé ce truc?’ " />

tchize

Le 05/03/2013 à 12h34

ffm76600 a écrit :

A quand la version 8 ?

Septembre :)

http://openjdk.java.net/projects/jdk8/milestones

GA 2013/09/09 General Availability

sniperdc

Le 05/03/2013 à 12h36

" />

C’est bon JAVA désinstallé comme ça plus de faille " />

neves

Le 05/03/2013 à 13h07

OlivierJ a écrit :

En effet pour la désactivation.

Cela dit, il faut quand même 2 conditions : accéder à un site qui comporte une applet Java, et que cette applet soit vérolée. Ça ne doit pas toucher grand monde, non ?

L’actualité montre le contraire :) (les APTs récentes sur les boites US)

OlivierJ a écrit :

De là à exploiter un Linux il y a une marge, il faut que le “shell code” soit adapté à l’OS.

Dans ce cas, oui il faut que le shellcode soit adapté à l’OS. Mais ça n’a rien de compliqué, un fingerprint du navigateur permet de détecter l’OS et de fournir le bon applet avec le bon shellcode adapté à l’OS. Et là c’est pas plus compliqué de faire un shellcode Linux que Windows.

copaz

Le 05/03/2013 à 13h09

Oracle devrait racheter la VM Java développé par Google

tchize a écrit :

Septembre :)

http://openjdk.java.net/projects/jdk8/milestones

GA 2013/09/09 General Availability

En même temps ils ont décalés pas mal de choses dans la v9… Plus que 3 ans à attendre.

jb18v

Le 05/03/2013 à 13h39

iFrancois a écrit :

De toute façon l’évolution actuelle tend vers la disparition des applets Java et Flash au profit du full HTML 5. Ya qu’a regarder les derniers navigateurs, même IE 10 supporte énormément de fonctionnalités HTML 5. Dans quelques années tout ca ne sera plus qu’un mauvais souvenir … à moins que les failles des navigateurs prennent le relais " />

Ou pas

PC INpact " />

Nithril

Le 05/03/2013 à 13h52

copaz a écrit :

Oracle devrait racheter la VM Java développé par Google

En même temps ils ont décalés pas mal de choses dans la v9… Plus que 3 ans à attendre.

La VM de Google n’est pas comparable à celle d’Oracle sur les fonctionnalités implémentées…

Inny Abonné

Le 05/03/2013 à 14h43

jb18v a écrit :

Ou pas

PC INpact " />

C’est une faille du navigateur justement. " />

Choub

Le 05/03/2013 à 15h36

Le grand intérêt de Java maintenant de toute façon, c’est JavaEE, donc exit le grand public.

IAmNotANumber

Le 05/03/2013 à 15h49

Gilbert_Gosseyn a écrit :

N’empêche que Oracle répond rapidement.

Un oracle qui ne répondrait pas ce serait le comble " />

Nithril

Le 05/03/2013 à 16h40

Choub a écrit :

Le grand intérêt de Java maintenant de toute façon, c’est JavaEE, donc exit le grand public.

Oracle pousse quand meme JavaFX

Laskov

Le 06/03/2013 à 06h39

OlivierJ a écrit :

Les utilisateurs qui ne se servent jamais de Java ne risquent rien, donc pas la peine de désinstaller :) . De toutes façons les failles touchent l’aspect applet Java, qui sont rarement utilisées il me semble (et qu’on peut désactiver comme écrit).

Un point n’est pas clair pour moi, ça touche autre chose que les plateformes Windows cette faille ?

Le probléme est que je ne puis m’en passer il est utilisé par de nombreux programme que je me sert chez moi dont surtout PS3 Media Server.

Je suis donc obligé de vivre avec lui…

Je me demande d’ailleurs quand le créateur de PS3MS utilisera autre chose

josagama

Le 06/03/2013 à 08h53

Oracle corrige en urgence une faille critique de plus dans Java

o racle o desespoir o vieillesse ennemie " />

Java n’a pas une faille mais un tour noir, au moins chez eux les développeurs n’ont pas à craindre pour leurs emplois….." />

OlivierJ Abonné

Le 06/03/2013 à 19h39

Laskov a écrit :

Le probléme est que je ne puis m’en passer il est utilisé par de nombreux programme que je me sert chez moi dont surtout PS3 Media Server.

Je suis donc obligé de vivre avec lui…

Je me demande d’ailleurs quand le créateur de PS3MS utilisera autre chose

Si c’est un usage local et non en applet Java, où est le problème ?

Anonyme

Le 08/03/2013 à 13h54

OpenJDK, la dernière fois que j’ai regardé (y a longtemps), ct une archive de 80Mo de code c++ complètement tordu (avec la syntax objet du c++ je vous laisse imaginer les délires objets)

Faut pas venir chialer sur la présence d’innombrables failles dans le code c++. C’est pas gentil d’ajouter aux failles du C avec les libs systèmes et du kernel, celles du C++/java…

Catégories

Nous Suivre

À propos

Oracle corrige en urgence une faille critique de plus dans Java

Sans foi sur le métier...

Commentaires (34)