वेबसाइट: अधिकांश जावा-सक्षम ब्राउज़र व्यापक जावा शोषण के लिए कमजोर

अधिकांश ब्राउज़र इंस्टॉलेशन जावा प्लग-इन के पुराने संस्करणों का उपयोग करते हैं जो कम से कम एक में से कम से कम एक के लिए कमजोर हैं सुरक्षा विक्रेता वेबसाइटों द्वारा प्रकाशित आंकड़ों के मुताबिक लोकप्रिय वेब आक्रमण टूलकिट में वर्तमान में उपयोग किए जाने वाले शोषण।

कंपनी ने हाल ही में अपने खतरे के खुफिया नेटवर्क का उपयोग किया है, जो अपने उत्पादों द्वारा संरक्षित एंडपॉइंट कंप्यूटरों के लाखों "लाखों" से उत्पन्न अरबों वेब अनुरोधों पर नज़र रखता है, उन सिस्टम पर स्थापित जावा संस्करणों का पता लगाने के लिए और उनके वेब ब्राउज़र के माध्यम से उपलब्ध हैं। वेबसाइट व्यवसायों के लिए वेब और ईमेल गेटवे सुरक्षा उत्पाद प्रदान करती है, लेकिन यह दुर्भावनापूर्ण सामग्री के लिए सोशल नेटवर्किंग साइट पर उपयोगकर्ताओं द्वारा क्लिक किए गए लिंक स्कैन करने के लिए फेसबुक के साथ साझेदारी भी करती है।

वेबसाइटों द्वारा एकत्र किए गए जावा टेलीमेट्री डेटा से पता चला कि केवल 5.5 प्रतिशत जावा-सक्षम ब्राउज़र में सॉफ़्टवेयर के ब्राउज़र प्लग-इन-जावा 7 अपडेट 17 (7u17) और जावा 6 अपडेट 43 (6u43) -installed के सबसे अद्यतित संस्करण हैं। इन दो संस्करणों को 4 मार्च को जारी किया गया था ताकि उस समय सक्रिय हमलों में पहले से ही एक भेद्यता का शोषण किया जा सके।

[आगे पढ़ें: अपने विंडोज पीसी से मैलवेयर कैसे निकालें]

वेबसाइटों के मुताबिक, उस भेद्यता के लिए शोषण को तब से कूल एक्सप्लॉयट किट में एकीकृत किया गया है, जो एक वेब अटैक टूलकिट है जिसे साइबर अपराधियों द्वारा बड़े पैमाने पर ड्राइव लॉन्च करने के लिए उपयोग किया जाता है, जो डाउनलोड किए गए हमलों से मेल खाता है जो समझौता या दुर्भावनापूर्ण वेबसाइटों पर जाकर मैलवेयर के साथ कंप्यूटर को संक्रमित करता है।

कूल एक्सप्लॉयट किट एक उच्च है -जैक हमले टूलकिट जिसके लिए $ 10,000 प्रति माह की सदस्यता की आवश्यकता होती है, इसलिए एक तर्क है कि कई साइबर अपराधियों इसे बर्दाश्त नहीं कर सकते हैं। हालांकि, वेबसाइट के डेटा से पता चलता है कि बड़ी संख्या में जावा-सक्षम ब्राउज़र इंस्टॉलेशन बहुत सस्ता और व्यापक शोषण किट में उपयोग किए जाने वाले शोषण के लिए भी कमजोर हैं।

उदाहरण के लिए, कंपनी ने पाया कि लगभग 71 प्रतिशत जावा-सक्षम ब्राउज़र इंस्टॉलेशन कमजोर थे एक पुराने शोषण के लिए जो वर्तमान में चार अलग-अलग वेब हमले टूलकिट्स में मौजूद है: रेडकिट, क्रिटएक्सपैक, गोंग दा और ब्लैकहोल 2.0। शोषण एक जावा भेद्यता को लक्षित करता है जिसे सीवीई -201468681 कहा जाता है जिसे अगस्त 2012 में ओरेकल द्वारा पैच किया गया था।

वेबसेंस द्वारा स्कैन किए गए जावा-सक्षम ब्राउज़र के 75 प्रतिशत से अधिक ब्राउज़र प्लग-इन संस्करण का उपयोग करते थे जो छह महीने से अधिक था पुराना, और लगभग दो तिहाई संस्करण एक संस्करण का इस्तेमाल किया जो एक वर्ष से अधिक पुराना था। उन ब्राउज़रों के उपयोगकर्ता जावा 7 अपडेट 11 में ओरेकल द्वारा पेश किए गए सुरक्षा नियंत्रण से लाभ नहीं उठाते हैं जो जावा एप्लेट को डिफ़ॉल्ट रूप से पुष्टि के बिना ब्राउज़र के अंदर चलाने से रोकते हैं।

डेटा दिखाता है कि जब जावा की बात आती है, तो शून्य-दिन के हमले वेबसाइट्स के सुरक्षा शोधकर्ताओं ने ब्लॉग पोस्ट में कहा कि कमजोरियों का शोषण करने वाले कमजोरियों का शोषण करना चाहिए-

अन्य सुरक्षा विशेषज्ञों ने अतीत में कहा है कि ओरेकल को सुधारने का एक तरीका मिलना चाहिए जावा अपडेट की गोद लेने की दर, संभवतः चुप के विकल्प की पेशकश करके, Google या Adobe जैसे स्वचालित अपडेट क्रोम, फ्लैश प्लेयर और एडोब रीडर में किए गए थे। मूक सॉफ़्टवेयर अपडेट कॉर्पोरेट वातावरण में लोकप्रिय नहीं हैं, जहां सिस्टम पर तैनात होने से पहले पैच को संगतता और स्थिरता के मुद्दों के लिए परीक्षण करने की आवश्यकता होती है, लेकिन यदि लागू हो तो वे उपभोक्ता स्थान में जावा संस्करणों के विखंडन को कम करने में मदद करेंगे।