La semaine dernière, Oracle a prodigué en urgence une mise à jour correctrice pour l'environnement Java 7 afin de combler des vulnérabilités 0-day qui ont beaucoup fait parler d'elles.
Remercié par Oracle pour avoir rapporté de telles failles ( portées à la connaissance d'Oracle en avril 2012 ! ), Adam Gowdiak de Security Explorations tire à nouveau la sonnette d'alarme. Tout n'a pas été réglé par le patch.
Le chercheur en sécurité polonais indique qu'une faille dans Java 7 Update 7 peut être exploitée pour contourner la sandbox Java et exécuter du code arbitraire sur le système d'exploitation. Une preuve de concept a été envoyée à Oracle.
Pas question pour autant de rendre la vulnérabilité publique. Les détails pour l'exploitation ne seront pas rendus publics tant qu'Oracle n'aura pas élaboré un correctif en bonne et due forme.
Comme il ne s'agit pour le moment que d'une preuve de concept, la menace n'est pas à son maximum pour les utilisateurs. La réactivité d'Oracle sera néanmoins scrutée de près suite aux récentes critiques à son encontre.
Mettre plus de temps à corriger une faille signalée, c'est aussi donner plus de temps à des individus peu scrupuleux pour la découvrir et l'exploiter.
Le bon conseil pour les utilisateurs est que s'ils n'ont pas besoin de Java ( un composant optionnel ), autant ne pas l'installer ou le supprimer.
Le cas échéant, Security Explorations a constaté que la sandbox de Java 6 semble plus sûre que celle de Java 7.
