oracle没有监听程序_没有Oracle的重要补丁程序更新的Java应用程序的主要漏洞

最新推荐文章于 2023-10-30 16:17:38 发布

diluan6799

最新推荐文章于 2023-10-30 16:17:38 发布

阅读量156

点赞数

文章标签： java 人工智能安全编程语言区块链

oracle没有监听程序

Oracle今天发布的重要补丁更新显示，JRE / JDK版本存在一个重大漏洞，攻击者无需用户名或密码即可远程访问Java应用程序。这适用于所有未应用最新季度补丁的Java版本。

2015年4月，收集了98个补丁，涵盖了一系列Oracle产品中的许多安全漏洞，包括Java SE，MySQL Suite和Oracle Database Server。

98个修复程序中有14个是针对Oracle Java SE的，其中三个漏洞在“通用漏洞评分系统（CVSS）”中排名最高（10.0）。 Oracle指出，其他漏洞“只能通过沙盒Java Web Start应用程序和沙盒Java applet加以利用”。 Waratek首席技术官John Matthew Holt说，然而，仍然存在14个JRE和JDK漏洞，这些漏洞无需身份验证即可通过网络远程利用。

“最严重的威胁”

Holt说，这些弱点可能使远程攻击者无需用户名或密码即可访问或控制应用程序，而用户名或密码代表“最严重的威胁”。

Oracle将其作为Java 7用户可以公开获得的最后一个安全补丁，这意味着所有勇于使用Java 7和更低版本的企业都将面临各种新的安全威胁。到目前为止，Java 8是唯一具有主动安全措施的Java平台版本。 Holt说：“这是一个巨大的新闻，它将给世界各地数百万的应用程序所有者带来巨大的头痛和中断。”

Holt解释说，传统的Java平台开发人员可以选择“开始全面升级，重新测试并重新部署生命周期到最新的Java SE 8更新中，或者安装将隔离的新Java容器RASP（运行时应用程序自我保护）技术”。并自动保护Java平台和整个应用程序堆栈。”

无论哪种方式，Java平台的快速生命周期和Oracle的无情驱动都意味着，数百万的Java 7应用程序将在没有Oracle任何帮助的情况下抵御代码级漏洞。

尽快更新和修补

Oracle的官方立场是Java社区需要保留受积极支持的版本，并尽快应用关键补丁更新修复程序。

Oracle继续定期收到有关恶意利用漏洞的报告，而Oracle已经针对这些漏洞发布了修复程序。在某些情况下，据报道恶意攻击者成功了，因为客户未能应用可用的Oracle补丁。

这不是Oracle首次发现重大安全漏洞，也不会是最后一个。去年，浏览器中JDK和Java的众多缺陷导致一半的安全专家怀疑Java应用程序的安全性，而Mozilla则抵制Firefox中的Java 。由于安全问题， Java 8发行版也受到严重延迟。但是，正如Holt在整篇采访中在下面解释的那样，Java的漏洞不应归咎于Oracle。

JAXenter：Java 7开发人员需要做什么以确保其应用程序不容易受到攻击？

John Matthew Holt： Java 7开发人员确实有两个主要选择。他们或者开始一个项目，以升级其应用程序以使用Java8。或者，他们可以采用任何新的Java RASP（运行时应用程序自我保护）技术，这些技术可以自动容器化和保护JRE和应用程序堆栈。

“这是YMMV的情况（您的里程可能会有所不同）”

对于简单的应用程序，升级到Java 8的最新补丁更新可能并不难，并且可以使应用程序摆脱近期的危险。但是，当下一个Java 8 CPU补丁在7月发布时，它们将不得不重新经历补丁/升级周期。更大，更复杂的应用程序可能没有那么轻松的时间，并且以这种方式升级可能会遇到更多挑战。这是YMMV的情况（您的里程可能会有所不同）。

不管是否将应用程序更新到最新的Java 8修补程序更新，现在都有大量的Java RASP容器化技术投入市场，这些技术能够提供全方位的“纵深防御”功能适用于远远超出JRE / JDK CPU补丁更新所能提供的范围的应用程序。

例如，全面的Java容器化可保护应用程序堆栈免受“由内而外”（“ outside-in”（outsider）和“ inside-out”（inside-out）（inside））的攻击；并为许多高级SANS / OWASP漏洞提供了自动保护，这些漏洞在应用程序堆栈中位于较高的位置，例如SQL注入和跨站点脚本（XSS）。

Oracle是否会抛弃其原有平台的开发人员？ 还是该漏洞只是其最新创新活动中的附带损害？

Oracle在这里没有错，确实，他们在响应Java的安全问题方面所做的出色工作，同时也推动了语言创新。但是现实是，漏洞的源头很长，这些漏洞使得仅通过修补补丁来保护Java最终变得站不住脚。