Javassa tietoturva-aukko vielä päivityksen jälkeenkin

Uusimmasta on löytynyt vakava tietoturva-aukko, kertoo InfoWorld. Uusin versio, eli Java 7 Update 7 julkaistiin paikkaamaan vakava tietoturva-aukko, mutta korjaus ei poista kaikkia tietoturvaongelmia.

Javaa ajetaan virtuaalisessa hiekkalaatikossa, joka estää koodia pääsemästä käsiksi käyttöjärjestelmään ja laitteistoon. Javan päivitysversio 7:ssä oleva vika mahdollistaa edelleen hiekkalaatikon ohittamisen ja kohdekoneen haltuun ottamisen.

Tietoturva-aukon löysivät vain muutaman tunnin kuluttua päivityksen julkaisemisesta puolalaisen Security Explorations -tietoturvayrityksen tutkijat. Yritys keroo lähettäneensä Javan takana olevalle Oraclelle esimerkin mallihyökkäyksestä vian korjaamiseksi.

Yhtiön toimitusjohtaja Adam Gowdiak ei suostunut paljastamaan löydöksen teknisiä yksityiskohtia, sillä uutta tietoturva-aukkoa ei ole vielä tiettävästi ehditty hyödyntää. Vanhempiin java-versioihin kohdistetut hyökkäykset eivät toimi sellaisenaan uusimmassa java-versiossa.

Sen verran Gowdiak kertoi InfoWordille, että getField- ja getMethod-metodien poisto sun.awt.SunToolkitistä ei poistanut haavoittuvuuksia, ainoastaan hyökkäysvektorin. Vanhoja aukkoja saattoi yhä käyttää hyväksi.

Julkaistessaan Java 7 Update 7 -päivityksen, Oracle rikkoi perinteisen neljän kuukauden välein tapahtuvan päivitysrytminsä. Syynä tähän oli se, että tietoturva-aukkoja oli alettu hyödyntää.

Uuden päivityksen aikataulusta ei ole toistaiseksi tietoa.