Oracle a publié de nouvelles mises à jour de sécurité pour Java afin de corriger 19 vulnérabilités et désactiver le support par défaut pour SSL 3.0, une version obsolète du protocole de communication sécurisé qui est vulnérable aux attaques.Même si le nombre d'attaques qui exploitent les vulnérabilités de Java a été régulièrement en baisse au cours de la dernière année, les exploits Java restent parmi les principaux vecteurs d'attaque contre les utilisateurs du Web, selon le dernier rapport de sécurité de Cisco. Ces correctifs pourront donc limiter les attaques via les exploits Java.
Quatorze des 19 vulnérabilités corrigées dans Java affectent les déploiements des clients et peuvent être exploitées à partir de pages Web grâce à des applets Java malveillantes ou des applications Java Web Start. Quatre d'entre elles ont le score de sévérité maximale(10) dans le système de score de vulnérabilité commune (CVSS) et deux autres pouvant conduire à un compromis total du système sont de sévérité 9,3.
Les nouvelles mises à jour de sécurité permettent de corriger des vulnérabilités qui « vont de la lecture et l'écriture de données locales à la prise de contrôle totale du système d'exploitation, y compris l'exécution de code arbitraire », a déclaré John Matthew Holt, CTO de Waratek, la firme de sécurité d'applications Java, via e-mail.
Une des mises à jour de sécurité dans Java est la désactivation du protocole SSL 3.0 par défaut en réponse à la vulnérabilité de POODLE découverte en octobre. La faille permet, par des attaques de l'homme du milieu, de déchiffrer des informations sensibles comme les cookies d'authentification à partir d'une connexion chiffrée avec SSL 3.0.
POODLE a aussi affecté le protocole TLS à cause de la possibilité de forcer le passage à SSL 3.0 lorsque le client et le serveur supportent le protocole vieillissant.
Toutefois, si SSLv3 est absolument nécessaire, Oracle a indiqué dans les nouvelles de version de Java la possibilité de le réactiver.
Les versions nouvellement patchées de Java sont 5.0u81, 6u91, 7u75/7u76 et 8u31, mais les mises à jour de Java 5 et 6 ne sont disponibles que pour les clients d'Oracle avec des contrats de support à long terme.
Par ailleurs, c'est aussi la dernière mise à jour publique de sécurité pour Java 7. Les utilisateurs qui ont la mise à jour automatique activée seront migrés vers Java 8; et seuls les utilisateurs disposant de contrats de support à long terme seront en mesure de télécharger les prochains correctifs de sécurité de Java 7.
Source : Oracle CPU
Et vous ?
Qu’en pensez-vous ? 
)
Envoyé par Traroth2
