Không rõ ràng nếu khai thác này nhắm vào một lỗ hổng mới hay một lỗ hổng Java cũ hơn đã được vá. Oracle đã phát hành các bản cập nhật bảo mật Java mới vào thứ hai để giải quyết hai lỗ hổng nghiêm trọng, một trong số đó đã được khai thác bởi những kẻ tấn công.

Cài đặt kiểm tra thu hồi chứng chỉ trong Java 7

Bắt đầu với bản phát hành tháng 1 của Java 7 Update 11, các điều khiển bảo mật mặc định cho nội dung Java dựa trên Web được đặt ở mức cao, nhắc người dùng xác nhận trước khi các applet được phép chạy bên trong các trình duyệt, bất kể chúng được ký điện tử hay không. việc sử dụng các khai thác đã ký trên các trình chưa ký sẽ cung cấp các lợi ích cho kẻ tấn công, bởi vì các hộp thoại xác nhận được hiển thị bởi Java trong hai trường hợp là khác nhau đáng kể. Bogdan Botezatu, một nhà phân tích cao cấp về e-threat tại nhà cung cấp phần mềm chống virus Bitdefender, cho biết qua email là một phần quan trọng trong việc đảm bảo người dùng có thể tin tưởng mã của bạn. Hộp thoại xác nhận được hiển thị cho mã đã ký sẽ độc lập hơn và ít bị đe dọa hơn so với mã được hiển thị trong trường hợp mã chưa ký,

"Ngoài ra, Java tự xử lý mã đã ký và không ký tên khác nhau và thực thi các hạn chế bảo mật một cách thích hợp". nói. Ví dụ: nếu cài đặt bảo mật Java được đặt thành “rất cao”, các applet không dấu sẽ không chạy chút nào, trong khi các applet đã ký sẽ chạy nếu người dùng xác nhận hành động. Trong môi trường doanh nghiệp nơi các cài đặt bảo mật Java rất cao được thực thi, việc ký mã có thể là cách duy nhất để kẻ tấn công chạy một applet độc hại trên một hệ thống đích, ông ta nói.

Ví dụ về cảnh báo bảo mật cho Java applet đã ký trong Java 7 Update 17

Việc khai thác Java mới này cũng đưa ra ánh sáng thực tế là Java không kiểm tra việc thu hồi chứng chỉ số theo mặc định.

Khai thác được tìm thấy bởi các nhà nghiên cứu thứ hai đã được ký với một chứng chỉ kỹ thuật số có nhiều khả năng bị đánh cắp. Giấy chứng nhận được phát hành bởi Go Daddy cho một công ty có tên Clearesult Consulting có trụ sở tại Austin, Texas và sau đó đã bị thu hồi với ngày 7 tháng 12 năm 2012.

Thu hồi chứng chỉ có thể áp dụng hồi tố và không rõ ràng khi nào Go Daddy gắn cờ chính xác chứng nhận thu hồi. Tuy nhiên, vào ngày 25 tháng 2, ba ngày trước khi mẫu cũ nhất của vụ khai thác này được phát hiện, chứng chỉ đã được liệt kê là bị thu hồi trong danh sách thu hồi chứng chỉ được công bố bởi công ty, Kubec cho biết.

Trên tab "Nâng cao" của bảng điều khiển Java, trong mục "Cài đặt bảo mật nâng cao", có hai tùy chọn được gọi là "Kiểm tra chứng chỉ thu hồi bằng cách sử dụng Danh sách thu hồi chứng chỉ (CRLs)) ”Và“ Bật xác thực chứng chỉ trực tuyến ”- tùy chọn thứ hai sử dụng OCSP (Giao thức trạng thái chứng chỉ trực tuyến). Cả hai tùy chọn này đều bị tắt theo mặc định.

Oracle không có bất kỳ bình luận nào về vấn đề này tại thời điểm này, cơ quan PR của Oracle tại Anh cho biết hôm thứ ba qua email.

“Bảo mật hy sinh để thuận tiện là một sự giám sát an ninh nghiêm trọng, đặc biệt là Java. của phần mềm kể từ tháng 11 năm 2012, ”Botezatu nói. Tuy nhiên, Oracle không đơn độc trong việc này, nhà nghiên cứu cho biết, chú ý rằng Adobe phát hành Adobe Reader 11 với một cơ chế sandbox quan trọng bị vô hiệu hóa theo mặc định vì lý do khả năng sử dụng

Cả Botezatu và Kubec đều tin rằng những kẻ tấn công sẽ bắt đầu sử dụng Java khai thác để tránh các hạn chế bảo mật mới của Java dễ dàng hơn.

Công ty bảo mật Bit9 gần đây đã tiết lộ rằng tin tặc đã xâm phạm một trong các chứng chỉ số của nó và sử dụng nó để ký phần mềm độc hại. Năm ngoái, tin tặc đã làm như vậy với một chứng chỉ kỹ thuật số bị xâm phạm từ Adobe.

Những sự cố và khai thác Java mới này là bằng chứng cho thấy các chứng chỉ kỹ thuật số hợp lệ có thể kết thúc ký mã độc, Botezatu nói. Trong bối cảnh này, việc chủ động kiểm tra việc thu hồi chứng chỉ là đặc biệt quan trọng bởi vì nó là sự giảm thiểu duy nhất có sẵn trong trường hợp thỏa hiệp chứng chỉ, Người dùng yêu cầu Java trong trình duyệt hàng ngày nên cân nhắc việc kích hoạt thu hồi chứng chỉ để tốt hơn bảo vệ chống lại các cuộc tấn công khai thác chứng chỉ bị đánh cắp, Adam Gowdiak, người sáng lập công ty nghiên cứu bảo mật lỗ hổng của Ba Lan, cho biết qua email. Các nhà nghiên cứu đã phát hiện và báo cáo hơn 50 lỗ hổng Java trong năm qua.

Trong khi người dùng nên kích hoạt các tùy chọn thu hồi chứng chỉ này theo cách thủ công, nhiều người trong số họ có thể sẽ không làm điều đó vì họ thậm chí không cài đặt bản cập nhật bảo mật.. Nhà nghiên cứu hy vọng rằng Oracle sẽ tự động bật tính năng này trong bản cập nhật trong tương lai.