Faille Java : Oracle avait déjà été alerté

Security Explorations, un éditeur de sécurité polonais indique avoir averti Oracle au sujet d'une vulnérabilité dans Java 7 Update 6. Oracle aurait donc été au courant de cette faille 0-Day depuis avril dernier sans pour autant agir en conséquence.

L'éditeur de sécurité Security Explorations rappelle qu'il avait mis en garde dès le mois d'avril la firme Oracle que sa plateforme Java contenait plusieurs vulnérabilités. Dans une note reprise par PCWorld, la société précise qu'elle avait communiqué à la firme des informations détaillées sur 19 faiblesses constatées.

Parmi ces données, figuraient alors des détails ainsi que plusieurs « proof-of-concept » (PoC) expliquant comment ces failles pouvaient être utilisées. De même, l'éditeur précisait que 12 vulnérabilités permettaient de passer outre les sécurités du système bac à sable de la machine virtuelle Java.

Malgré ces avertissements, des experts en sécurité du cabinet Fireye ont indiqué en début de semaine qu'une nouvelle faille présente dans Java 7 était bel et bien exploitée. Cette dernière permet alors de diffuser un cheval de Troie, une variante du malware baptisé Poison Ivy.

Pour l'instant, la désactivation de Java est fortement recommandée puisque la faille peut potentiellement être diffusée via l'ensemble des navigateurs du marché mais également sur les environnements Windows (XP, Vista et 7), Mac OS X 10.7.4 ainsi que sur Ubuntu 10.04. Une mesure provisoire avant qu'Oracle n'édite une mise à jour de sécurité. Celle-ci est d'ailleurs prévue pour la mi-octobre à moins que la firme n'édite un patch spécifique en urgence.