Java, attacchi senza precedenti

L’allarme proviene dal Microsoft Malware Protection Center : sul blog ufficiale, l’organizzazione che fa capo a Redmond descrive quella che è “un’ondata senza precedenti” di attacchi ed exploit pensati per sfruttare vulnerabilità in Java. I dati provengono dalle analisi fatte per mettere assieme l’ultimo Security Intelligence Report di Microsoft , e registrano un picco degli attacchi contro Java durante il terzo quarto dell’anno 2010.

Alla base della nuova pestilenza mirata ad abusare della virtual machine universale di Sun-Oracle, dice Microsoft, ci sono in particolare i tentativi di exploit contro tre diverse vulnerabilità: la prima, CVE-2008-5353 , è “un problema di deserializzazione nelle versioni vulnerabili di JRE” che porta all’esecuzione di codice da remoto attraverso i browser su cui è installato il componente Java e su piattaforme multiple (Windows, Linux e Mac OS X).

CVE- 2008-5353 ha sin qui portato a oltre 3,5 milioni tentativi di attacco riguardanti quasi 1,2 milioni di diversi computer, dice il blog, e non bastasse questo si registrano numeri importanti anche per le altre due vulnerabilità: CVE-2009-3867 è un problema di parsing di URL “file://” e può portare all’esecuzione di codice da remoto (2,6 milioni di attacchi e 1,1 milioni di computer), mentre la più recente CVE-2010-0094 è un altro “problema di deserializzazione” simile a CVE-2008-5353 che ha sin qui scatenato 231mila attacchi su 173mila computer.

Tutte e tre le vulnerabilità sono al momento corrette da una patch specifica, ma a quanto pare la cosa non è sufficiente a mettere al riparo netizen e aziende connessi. Java Runtime Environment è un componente attivo in background che non si è ben disposti ad aggiornare con la stessa (alta) frequenza con cui vengono distribuiti gli update al codice, oppure anche se aggiornato non esime i malintenzionati da provare a bucare anche dove buco non c’è.

Oracle dovrebbe adottare l’approccio già seguito da Adobe in merito alla sicurezza dei suoi componenti per browser web, suggerisce Ars Technica , rafforzando il suo impegno nell’irrobustimento del codice e adottando uno schema di distribuzione periodica degli update di sicurezza. La collaborazione con Microsoft per una migliore integrazione di JRE su Windows non guasterebbe.

Alfonso Maruccia