Tietoturvaaja sisuuntui Oraclen tölväisystä, löysi lisää Java-aukkoja
Puolalainen tietoturvayritys Security Explorations oli jälleen lempipuuhassaan eli metsästämässä haavoittuvuuksia suositusta, mutta reikäiseksi osoittautuneesta Java-ohjelmistosta.
Firman Adam Gowdiak kertoo Full Disclosure -postituslistalla useista korjaamattomista Java-aukoista. Javasta vastaava Oracle sai osakunnian aukkojen löytämisestä.
Gowdiakin mukaan Oracle oli kiistänyt yhden heidän aikaisemmin raportoimansa Javan tietoturvaongelman. Tästä sisuuntuneena Security Explorations palasi Javan koodin ja dokumentaation ääreen ja törmäsi siinä ohessa viiteen tuoreeseen haavoittuvuuteen.
Gowdiak ei mainitse, että aukkoja käytettäisiin hyökkäyksissä. Mutta hänen mukaansa uudet aukot yhdessä käytettynä mahdollistavat Javan rajoitetun ajoympäristön eli niin sanotun hiekkalaatikon täydellisen ohittamisen. Tämä toimii Java SE 7 Update 15:ssä, joka oli vielä viikon alkaessa Javan uusin versio.
Security Explorations ilmoitti löytämistään aukoista Oraclelle maanantaina. Samaan aikaan Oracle julkaisi Java-päivityksen korjatakseen kaksi muuta haavoittuvuutta, joista ainakin toista on käytetty paljon julkisuutta saaneissa verkkohyökkäyksissä suuria internet-palveluja vastaan.
