A ZDNet jelentése szerint a Java 7 pluginben egy nulladik napi sebezhetőséget találtak a hackerek (a hiba egyébként már a szoftver 4-es verziójától kezdve jelen van).

A biztonsági rés hivatalos leírása szerint a Java plugin saját biztonsági osztályaiban fedeztek fel egy jogosultságnöveléses hibát, amelyet bizonyos rosszindulatú programokban már ki is használtak. Az Egyesült Államok belügyminisztériuma a múlt héten erre így reagált:

A hackerek a Java 7 biztonsági rendszerében tártak fel egy gyenge pontot, amely rosszindulatú szoftverek telepítését segítheti elő. Ezek a szoftverek identitáslopásra vagy a fertőzött számítógépek botnetekbe (zombihálózatokba) való tömörítésére használhatóak. Ezek a hálózatok spameket küldhetnek és hozzáférés-megtagadásos (DDoS) támadásokat indíthatnak weboldalak ellen.

Jelenleg nem tudunk olyan biztos megoldásról, ami ezt a problémát orvosolná. Ez a biztonsági rés tudtunkkal több exploitkészletben is szerepel, és az ezt kihasználó kód is nyilvánosan elérhető.

Az Apple viszont szemmel láthatólag gyorsan lépett. Azokon a Maceken, amelyekre telepítve van a Java 7 böngészőbeépülő, az Xprotect.plist (ez gyakorlatilag egy rendszerszintű feketelista, az OS X beépített antivírus-programjának része) fájl frissítésével. A “trükk” csupán annyi, hogy az operációs rendszer a biztonsági frissítés után a Java pluginnek egy túlságosan friss, még meg nem jelent változatát (1.7.10.19) várná el (a beépülő jelenleg az 1.7.10.18-as verziónál tart), tehát a Java tulajdonképp kikapcsolásra kerül az internetböngészőkben.

Mindenközben az Oracle ki is adott egy biztonsági frissítést az érintett felhasználók számára. A hiba súlyosságára való tekintettel mindenkinek ajánlatos ezt a frissitést mihamarabb telepíteni.

Apró érdekesség, hogy az ismert iOS-hacker, @comex is kommentálta az eseményeket, a frissítés lassú mivoltán csodálkozva:

@comex its quite bad to push a fix that that only half works or worse opens another hole. You of all people know better than armchair coding

— semaphore (@notcom) January 14, 2013

Kapott is rá egy választ @notcom-tól (ő fejleszti a TinyUmbrellát), miszerint egy gyors javítással érdemes vigyázni, mert egy összetettebb kódban egy adott változtatás esetleg csak újabb réseket nyithat.