Java.......Une faille non répertoriée de Java menace tous les ordinateurs

Une vulnérabilité, jugée très critique par les spécialistes en sécurité, vient d’être découverte dans la version 7 de Java. Windows, Linux et Mac OS X sont concernés.

Après l’éradication de Grum, Atif Mushtaq, expert en sécurité du cabinet FireEye, se distingue une nouvelle fois. Il vient de découvrir une faille de sécurité dans la toute dernière version de Java (Java 7 Update 6, aussi appelée Java 1.7) qui permet à un « hacker malveillant » de se connecter à une machine distante.
L’exploit "Zero Day" a été découvert il y a deux jours le 26 août sur un serveur chinois. En résumé, la faille autorise l’installation de code arbitraire à l’aide, par exemple, d’un Applet Java intégré dans une page web.
Il est donc possible de récupérer des informations à l’insu de l’utilisateur. Ou d’exécuter des logiciels malveillants en tâche de fond comme un enregistreur de frappe clavier (un keylogger) ou un logiciel de capture d’écran…

A portée de tous... ou presque

L’exploit a d’abord été utilisé par des pirates de haut vol, a priori, dans un but de cyber espionnage, pour déployer une variante de Poison Ivy, un cheval de Troie. Malheureusement, une PoC (en anglais, Proof of Concept, une preuve de faisabilité) a été publié sur Internet, permettant à des hackers « en herbe » de réaliser la manipulation à l’aide de logiciels open source en libre téléchargement et d’un zeste de savoir-faire.
La faille est donc considérée comme extrêmement critique par l’ensemble des experts en sécurité. A fortiori parce qu’elle concerne tous les systèmes d’exploitation (Windows, Mac OS X et Linux) et tous les navigateurs (Internet Explorer, Chrome, Firefox et Opera). Des hackers assurent déjà que la faille fonctionne parfaitement avec Firefox sous Ubuntu 10.04 et 12.04, avec Firefox et Internet Explorer sous Windows XP, Vista et 7 et avec Safari sous Mac OS X 10.7 et 10.8. Pour envenimer les choses, les antivirus ne détectent absolument rien…

Le mot d'ordre : désactivez Java !

Pour le moment, Oracle, l’éditeur de Java, n’a pas communiqué sur le sujet et aucun correctif n’est officiellement disponible. Nous avons contacté la société G Data, éditrice de solution de sécurité, qui s’est bien évidemment penchée sur ce problème : elle conseille de désactiver le plugin Java sur tous les navigateurs et de désinstaller le programme Java dans Windows (dans Mac OS X 10.7 et 10.8, ce programme n’est plus installé par défaut).