Aggiunta di recente la possibilità di sfruttare una gravissima vulnerabilità sanata da Oracle a febbraio. La falla, presente in tutte le versioni di Java precedenti alla 6.0 Update 31 e alla 7.0 Update 3, consente a un aggressore di eseguire codice potenzialmente nocivo all’infuori della sandbox.
Se sul vostro personal computer è installato il pacchetto Java ma non è stato aggiornato all’ultima versione, potreste rischiare di vedere eseguito codice dannoso semplicemente “navigando” sul Web.
Gli autori di un noto strumento utilizzato da una vasta schiera di cybercriminali per mettere a punto codice in grado di far leva su vulnerabilità note nei vari pacchetti software hanno, infatti, aggiunto la possibilità di sfruttare una gravissima vulnerabilità sanata da Oracle a metà febbraio. Questa falla, presente in tutte le versioni di Java precedenti alla 6.0 Update 31 e alla 7.0 Update 3, consente a un aggressore remoto di eseguire codice potenzialmente nocivo all’infuori della sandbox offrendo l’opportunità di infettare l’intero sistema.
Già la scorsa settimana i tecnici del “Malware Protection Center” di Microsoft avevano segnalato “l’escalation” lanciata da un gruppo di criminali informatici che hanno cominciato ad utilizzare proprio la vulnerabilità insita nel pacchetto Java per provocare l’installazione automatica del noto trojan Zeus.
Gli autori di BlackHole, probabilmente il più famoso tool contenente gli strumenti per creare malware capace di far leva su un vastissimo numero di vulnerabilità, avrebbero infatti aggiunto nel loro software il codice exploit per aggredire le installazioni di Java non aggiornate all’ultima release.
Puntando il browser a questo indirizzo, è possibile controllare la versione del pacchetto Java (tipicamente Java JRE) eventualmente installato sul proprio sistema (è necessario fare clic su “Verify Java version“). Qualora non si stesse utilizzando Java, il problema non sussiste; diversamente, bisognerà assicurarsi di utilizzare Java 6.0 Update 31 o 7.0 Update 3.
Gli attacchi che fanno leva su vulnerabilità note, via a via scoperte nel pacchetto Java, si sono dimostrati particolarmente fruttuosi, in termini economici, per gli aggressori. Le ragioni di un così ampio successo per gli attacchi nei confronti degli utenti di Java risiede nel fatto che molte persone non sanno di averlo installato, non conoscono come verificare la versione impiegata e come aggiornarla, non sono consapevoli delle impostazioni che permettono (o meno) ai browser veri di farne uso. Per non parlare della popolarità di Java: secondo i dati di Oracle, il prodotto sarebbe oggi installato su oltre 3 miliardi di sistemi a livello mondiale.
