URL: https://linuxfr.org/users/letoff/journaux/java-ca-pue-c-est-trop-libre Title: Java ça pue c'est trop libre. Authors: Raoul Volfoni Date: 2012年08月28日T13:40:42+02:00 License: CC By-SA Tags: java, 0day, sécurité et exploit Score: 45 Finalement j'ai l'impression que c'était inéluctable, que ça devait arriver un jour ou l'autre... ```java public void init() { try { disableSecurity(); ``` Alors là évidemment quand ça commence comme ça... Bon, pour ceusses qui l'ignorent encore ou ont toujours leur plugin Java d'activé dans leur navigateur, il y a un 0Day qui circule depuis au moins 2 jours: http://labs.alienvault.com/labs/index.php/2012/new-java-0day-exploited-in-the-wild/ http://eromang.zataz.com/2012/08/27/java-7-applet-rce-0day-gondvv-cve-2012-4681-metasploit-demo/ A priori Linux serait également impacté, mais je n'ai pas pu le vérifier : je n'ai pas le JRE d'Oracle et pas non plus l'envie de tester. Les classes se nomment (nommaient ?) Gondzz et Gondvv. Mais Oracle n'a pas l'air inquiet pour autant. Il y a pourtant eu un CVE très explicite d'attribué par MITRE avant celui de Kurt Seifried (RedHat): https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-4681 Bien évidemment, il y a déjà un module Metasploit de disponible pour tous les script-kiddies qui ne sont pas en vacances scolaires. Bref, en attendant la sortie de _Unbreakable Java_, il vous est recommandé au minimum de désactiver vos plugins dans les navigateurs ou de vous passer de la JRE d'Oracle. _NdM : cela concerne le JRE 7 et non Java 6, voir http://immunityproducts.blogspot.fr/2012/08/java-0day-analysis-cve-2012-4681.html pour une doc' (merci à René Quirion et Christophe Turbout pour leurs commentaires)._