Faille Java : bis repetita pour Oracle

Nouvelle alerte sur l’environnement Java.

L’éditeur polonais Security Explorations a détecté deux vulnérabilités critiques dans le patch Java 7 Update 7, tout juste déployé jeudi dernier pour résorber à la hâte d’autres failles, dont l’une déjà jugée de la plus haute importance.

Cette faiblesse mise en lumière, elle constitue, comme à l’accoutumée, une porte ouverte à l’exécution de code arbitraire à distance, typiquement via des applets intégrés sur des pages Internet malveillantes.

Pis encore, une combinaison de facteurs indésirables permettraient aux assaillants de contourner la sandbox, cette zone d’exécution sécurisée – souvent un répertoire temporaire – par laquelle du code potentiellement dangereux est isolé et contrôlé.

Par la voix de son CEO Adam Gowdiak, Security Explorations se veut formel : il n’est pas question de rendre publique la méthode utilisée pour débusquer cet exploit (ensemble d’instructions qui permettent l’exploitation d’une faille logicielle).

Mais l’heure est au rappel à l’ordre à l’adresse d’Oracle, invité à déroger une nouvelle fois à son calendrier de mises à niveau quadrimestrielles pour panser en urgence les blessures de Java 7.

Certes, le patch déployé jeudi dernier a résolu partie du problème, mais pas à la racine.

En optant pour une suppression des commandes getField et getMethod dans l’implémentation de la classe sun.awt.Toolkit, Oracle aurait simplement condamné l’un des vecteurs d’exploitation des failles, rendant en l’occurrence inopérant le proof-of-concept (démonstration de faisabilité).

Et Security Explorations d’ajouter que dans l’état, la sandbox de Java 6 serait plus sûre. Tout en concluant : « il vaut mieux désactiver la machine virtuelle si vous n’en avez pas besoin. »

Crédit photo : Shutterstock –  Pling