Cập nhật bảo mật java của Mammoth cung cấp 51 bản vá cần thiết

Trở lại vào tháng 6, chúng tôi đã nói với bạn về cách Oracle cam kết sẽ làm tốt hơn với Java và cập nhật nền tảng thường xuyên hơn. Đây là capstone trong một loạt các tập đáng xấu hổ, nơi Java được sử dụng nhiều lần để tấn công người dùng. Tuần này, Oracle đã phát hành bản cập nhật đầu tiên cho một loạt các bản cập nhật mới cho Java, mà họ hy vọng sẽ làm cho ba tỷ thiết bị chạy sản phẩm của họ an toàn hơn. Điều đó có thể đúng, nhưng bản cập nhật lớn đến mức khủng khiếp với những hàm ý đáng sợ không kém.

Vá nhanh hơn

Trước đây, Java đã được cập nhật ba lần một năm, nhưng bắt đầu từ tuần này, nó sẽ được cập nhật hàng quý cùng với các sản phẩm còn lại của Oracle như là một phần của Cập nhật Bản vá quan trọng hoặc CPU (Tôi thấy những gì bạn đã làm ở đó, Oracle).

Nhìn chung, bản cập nhật bao gồm 127 bản sửa lỗi bảo mật. Trong số đó, 51 phần dành cho Java và phần dưới đây là phần đáng sợ của 50 phần của những lỗ hổng đó, theo cách nói của Oracle, "có thể khai thác từ xa mà không cần xác thực."

Nhưng oh, nó trở nên tốt hơn. Trên blog Qualys, CTO Wolfgang Kandek viết "12 lỗ hổng có điểm CVSSv2 cao nhất là 10, cho thấy những lỗ hổng này có thể được sử dụng để kiểm soát hoàn toàn máy bị tấn công qua mạng mà không cần xác thực." Ông tiếp tục chỉ ra rằng hầu hết các bản cập nhật ảnh hưởng đến người dùng máy tính xách tay và máy tính để bàn (ví dụ: bạn, đang đọc cái này ngay bây giờ), nhưng có hai bản cập nhật rất quan trọng liên quan đến cài đặt máy chủ.

Đã đến lúc cập nhật!

Hầu hết người dùng có thể sẽ nhận được cập nhật tự động, nhưng để chắc chắn, Oracle đã cung cấp một trang hữu ích để kiểm tra phiên bản nào bạn đang chạy. Nếu nó phát hiện cài đặt lỗi thời, nó sẽ nhắc bạn tải xuống và cài đặt bản cập nhật. Lưu ý rằng phiên bản mới nhất tính đến tuần này là bản cập nhật Java 7 45.

Tôi sẽ nhanh chóng nhắc nhở người dùng hết sức cẩn thận khi cập nhật Java theo cách thủ công vì nó sẽ cố gắng thuyết phục bạn cài đặt thanh công cụ Ask.com và thay đổi công cụ tìm kiếm mặc định của bạn thành Hỏi.

Quá ít?

Mặc dù thật tốt khi thấy Oracle đẩy mạnh trò chơi bảo mật của họ, nhưng không phải ai cũng đánh giá cao động thái của Oracle. Cố vấn an ninh cấp cao của Sophos Chester Wisniewski đã viết trên blog của công ty mình rằng điều này cảm thấy như quá ít quá muộn. "Nếu danh tiếng của bạn kém đến mức này và bạn phơi bày hơn một tỷ người dùng cho sai sót của mình, bạn cần phản hồi nhanh hơn."

Wisniewski tiếp tục khẳng định rằng các ưu tiên của Oracle đã bị điều chỉnh sai và có sự táo bạo để tấn công chiếc thuyền mang nhãn hiệu Oracle của Larry Ellison gần đây đã giành được Cup của Mỹ. "Đặt giải thưởng lên kệ trong sảnh của bạn, bán chiếc thuyền mười triệu đô la và thuê các kỹ sư cần thiết để cập nhật chu kỳ vá Java lên hàng tháng bằng tiền mặt dự phòng", Wisniewski viết. "Hơn 3 tỷ thiết bị sẽ cảm ơn bạn."

Cập nhật cài đặt Java của bạn là cách tốt nhất để giữ cho bạn được bảo vệ trước các cuộc tấn công dựa trên Java, được đưa vào nhiều bộ công cụ khai thác và thường xuyên bị kẻ tấn công sử dụng. Tất nhiên, bạn luôn có thể rút phích cắm và vô hiệu hóa Java hoàn toàn.