ओरेकल के जावा पैच में नए छेद शामिल हैं, शोधकर्ताओं ने चेतावनी दी है

पोलैंड स्थित भेद्यता अनुसंधान फर्म, सुरक्षा अन्वेषण से शोधकर्ताओं ने दावा किया है कि जावा 7 अपडेट 11 में दो नई भेद्यताएं मिली हैं जिनका उपयोग सॉफ्टवेयर के बाईपास करने के लिए किया जा सकता है सुरक्षा सैंडबॉक्स और कंप्यूटर पर मनमाने ढंग से कोड निष्पादित करें।

ओरेकल ने मैलवेयर के साथ कंप्यूटर को संक्रमित करने के लिए साइबर अपराधियों द्वारा उपयोग किए जाने वाले शून्य-दिन के शोषण को अवरुद्ध करने के लिए पिछले रविवार को एक आपातकालीन सुरक्षा अद्यतन के रूप में जावा 7 अपडेट 11 जारी किया।

सुरक्षा अन्वेषण सफलतापूर्वक पुष्टि की गई कि जावा 7 अपडेट 11 (जेआरई संस्करण 1.7.0_11-बी 21) के तहत एक पूर्ण जावा सुरक्षा सैंडबॉक्स बाईपास अभी भी हासिल की जा सकती है, द्वारा खोजी गई दो नई भेद्यता का शोषण करके कंपनी के शोधकर्ता, कंपनी के संस्थापक एडम गौडियाक ने शुक्रवार को पूर्ण प्रकटीकरण मेलिंग सूची में भेजे गए एक संदेश में कहा। उन्होंने कहा कि शुक्रवार को ओरेकल को भेद्यता की सूचना दी गई थी, साथ ही कामकाजी सबूत-ऑफ-अवधारणा शोषण कोड के साथ।

[आगे पढ़ने: अपने विंडोज पीसी से मैलवेयर कैसे निकालें]

सुरक्षा अन्वेषण की प्रकटीकरण नीति के अनुसार, कमजोरियों के बारे में तकनीकी विवरण सार्वजनिक रूप से तब तक खुलासा नहीं किया जाएगा जब तक विक्रेता एक पैच जारी नहीं करता है।

असंबद्ध vulnerabiliites

सुरक्षा फर्म प्रतिरोधी से शोधकर्ताओं ने पिछले सप्ताह से साइबर अपराधियों द्वारा उपयोग किए जाने वाले शोषण का विश्लेषण किया, यह निष्कर्ष निकाला कि यह हासिल करने के लिए दो भेद्यता भी मिला एक जावा सैंडबॉक्स भागने। हालांकि, उन्होंने बाद में एक ब्लॉग पोस्ट में कहा कि जावा 7 अपडेट 11 ने केवल उनमें से एक को संबोधित किया और चेतावनी दी कि यदि हमलावरों को पैच किए गए स्थान को बदलने की एक और भेद्यता मिलती है, तो एक नया शोषण बनाया जा सकता है।

सुरक्षा अन्वेषण द्वारा खोजी जाने वाली भेद्यताएं हैं जावा 7 अपडेट 11 में ओरेकल द्वारा छोड़े गए एक से अलग, गौडियाक ने शुक्रवार को ईमेल के माध्यम से कहा।

यूएस कंप्यूटर आपातकालीन तैयारी टीम (यूएस-सीईआरटी) के कुछ सुरक्षा शोधकर्ताओं ने उपयोगकर्ताओं को जावा को अक्षम करने की सलाह दी गौडियाक ने कहा कि जावा 7 अपडेट 11 के रिलीज के बावजूद ब्राउजर प्लग-इन, भविष्य में इसी तरह के हमलों की चिंता हो सकती है।

"जावा एसई 7 कोड की गुणवत्ता के बारे में निश्चित रूप से कुछ चिंताजनक है।" यह जावा के लिए एक उचित सुरक्षित विकास जीवन चक्र कार्यक्रम की कमी या ओरेकल के लिए आंतरिक कुछ अन्य समस्याओं की कमी का सुझाव दे सकता है।

यह कहा गया है कि जावा 7 अपडेट 11 जावा एप्लेट्स को होने की अनुमति देने से पहले उपयोगकर्ताओं की पुष्टि के लिए पूछता है गौडियाक ने कहा कि ब्राउज़र के अंदर निष्पादित निश्चित रूप से सही दिशा में एक कदम है और कई हमलों को अवरुद्ध कर सकता है।