Критическое обновление Java SE устраняет 50 уязвимостей

Критическое обновление Java SE устраняет 50 уязвимостей

Компания Oracle представила крупнейшее в истории обновления с исправлением проблем безопасности в Java SE - Java SE 7 Update 13 и Java SE 6 Update 39, в которых устранено 50 уязвимостей, 26 из которым присвоен максимальный уровень опасности (CVSS Score 10.0), подразумевающий возможность выхода за пределы изолированного окружения виртуальной машины и инициирования выполнения кода в системе при обработке специально оформленного контента.

Изначально, выпуск обновлений был запланирован на 19 февраля, но был выпущен раньше срока, так как одна критическая уязвимость, исправленная в браузерном Java-плагине, имеет характер zero-day проблемы, для которой в сети уже зафиксированы факты эксплуатации. Все критические проблемы подвержены удалённой эксплуатации без необходимости аутентификации. 23 критические уязвимости проявляются на стороне клиента при обработке в браузерном плагине специально оформленного Java Web Start приложения или Java-апплета, трём проблемам подвержены как клиентские, так и серверные системы (эксплуатация через обращение к серверному API), передает uinc.ru.

Отдельно отмечаются 2 уязвимости в серверном компоненте JSSE (Java Secure Socket Extension). Из общего числа проблем 49 уязвимостей могут быть эксплуатированы удаленно с вектором атаки через сеть без предварительной аутентификации. 39 уязвимостей выявлено в Java Runtime Environment, а 11 в JavaFX. Из уязвимостей в JRE две проблемы найдены в 2D-подсистеме, 4 в CORBA, 4 в AWT, 10 в Deployment Toolkit, 3 в JMX, 5 в библиотеках, 2 в JSSE, 1 в Java Beans, 1 в системе скриптинга, 1 в звуковой подсистеме, 1 в инсталляторе, 1 в JAX-WS, 1 в JAXP, 1 в RMI, 1 в сетевой подсистеме.

В анонсе Oracle отмечается, что опасность эксплуатации проблем безопасности снижена благодаря тому, что начиная с Java SE 7 Update 11 был изменён предлагаемый по умолчанию уровень безопасности. Если ранее при выполнении апплетов использовался средний уровень безопасности, то теперь задействован наивысший уровень, включающий дополнительные проверки и требующий обязательного ручного подтверждения запуска в браузере неподписанных апплетов, приложений Java Web Start или JavaFX. Тем не менее, Адам Говдяк (Adam Gowdiak), известный польский исследователь безопасности, недавно заявил, что уровни безопасности можно обойти и они эффективны только в теории.

На практике же, достаточно быстро удалось найти уязвимость, позволяющую обеспечить выполнение вредоносного ПО даже при активации наивысшего уровня защиты, вообще запрещающего запуск неподписанных апплетов. Используя указанную уязвимость вредоносное ПО как и раньше может запускаться с открытой страницы, абсолютно незаметно для пользователя.

Касперский притормозил развитие «МойОфис»: импортозамещение не сработало

У российского офисного ПО продолжаются непростые времена. Глава «Лаборатории Касперского» Евгений Касперский заявил, что компания решила сократить объёмы поддержки развития «МойОфис», контрольный пакет которого находится под её управлением.

По словам Касперского, речь не идёт о закрытии проекта, однако актив переводится в режим медленного огня. Разработка и поддержка продуктов сохраняются, но уже не в тех масштабах, что раньше.

Причина проста: бизнес остаётся убыточным.

«Если говорить про ситуацию здесь и сейчас, то актив убыточен», — признал Касперский в интервью ТАСС на ПМЭФ.

Он также отметил, что не видит серьёзного экспортного потенциала у «МойОфис». По его словам, продукт слишком сильно ориентирован на российский рынок. Одной из ключевых задач для выхода за рубеж он назвал глубокую локализацию, в частности поддержку арабского языка, которая потребует дополнительных инвестиций и времени.

При этом основные надежды связывались именно с российским рынком и импортозамещением. Однако здесь ожидания не оправдались.

По мнению Касперского, полноценного импортозамещения в сегменте офисного ПО так и не произошло. Он объяснил это тем, что часть пользователей продолжает работать на пиратских версиях зарубежных продуктов, а часть использует схемы серого импорта программного обеспечения.

Несмотря на проблемы, говорить о полной заморозке проекта пока рано. В компании рассчитывают на дальнейшее развитие экосистемы и интеграцию продуктов «МойОфис» с собственной операционной системой.

Заявление прозвучало вскоре после сообщений о сокращениях в компании. Ранее стало известно, что «МойОфис» уведомил сотрудников об оптимизации штата. Финансовые показатели также выглядят тревожно: по итогам 2025 года чистый убыток разработчика вырос до 4 млрд рублей против 1,2 млрд рублей годом ранее.

RSS: Новости на портале Anti-Malware.ru