Faille très critique Java, non corrigée...

Résolu
jalobservateur -  
Avis aux utilisateur de Windows, toutes éditions.
Une faille importante vient juste d'être découverte dans Java et non corrigée pour le moment...

Le fait de désactiver le Java-script ne protège pas contre l'exploitation de cette vulnérabilité.
Actuellement sans information claire de la part de Sun sur la correction de cette faille, il est conseillé à l'utilisateur de modifier manuellement ses configurations logicielles.
Pour les deux navigateurs suivants, les manipulations ci-dessous permettent de limiter les risques:
-------------------------------------------------------------------------------------
1: Pour Firefox: Vérifiez si vous avez dans vos plugins ceci:
Java Deployment Toolkit .
Si tel est le cas, ouvrez le menu Outils et choisissez 'Modules complémentaires'.
Dans l'onglet Plugins sélectionnez Java Deployment Toolkit et cliquez sur Désactiver.
---------------
2: Pour Internet Explorer, il est nécessaire de placer un 'Bit d'arrêt' pour l'ActiveX suivant: ''Classe ID CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA''. Ici un tuto sur la façon dont réaliser cette manipulation: https://support.microsoft.com/en-us/topic/out-of-date-activex-controls-3ad33b2d-1cee-5d46-1234-e70714324850
Moins freindly user comme manipulations, mais essentielles.
@+
----------
Explication de la menace : La méthode d'attaque permet d'exécuter du code arbitraire à l'exécution du lanceur web Java. Donc par la suite exécuter avec permissions administratives, des gestes graves et prise de contrôle des machines ciblées.
-------------------
Infos supplémentaires:Java Deployment Toolkit est installé automatiquement avec le Java Runtime Environment depuis la version 6 (release 10) dans les navigateurs Internet comme Microsoft Internet Explorer, Mozilla Firefox ou Google Chrome.

Steve Job 'Apple' est un génie du marketing, Bill Gates un génie de la finance 'W$'
puis Linus Torvald et Richard Stallman 'Gnu/Linux' sont des génies de l'informatique...
La vérité n'est pas toujours où nous cherchons, mais souvent où l'on refuse de voir...

167 réponses

Résumé de la discussion

Une faille critique dans Java a été signalée et restait non corrigée à ce jour; le simple désactivation de JavaScript ne protège pas contre l’exploitation, d’où des ajustements manuels des configurations recommandés. Pour Firefox, vérifiez la présence du Java Deployment Toolkit dans les plugins et désactivez-le via Outils > Modules complémentaires, onglet Plugins. Pour Internet Explorer, appliquez un kill bit à l’ActiveX identifié par le CLSID CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA, ou désactivez Deployment Toolkit dans les modules complémentaires. Après mise à jour de Java, vérifiez les DLL et emplacements concernés (par exemple npdeploytk.dll et npdeployJava1.dll dans bin/new_plugin et System32), et assurez-vous que le registre ActiveX contient le flag de compatibilité approprié afin d’atténuer l’exploitation.

Bobot (l’IA à votre service)
  1. marc1301 Contributeur
    je viens a l'instant d'avoir une MÂJ de firefox, qui m'as activement désactivé les les module de java afin de protéger mon pc ;-)

    merci tonton jalobservateur d'avoir fait du bruit ;-)

    tu as était entendu !!!
    1. Utilisateur anonyme
      c'est ce que je disais déjà là
    2. hubertaaz Contributeur sécurité
      Salut,

      Signalé aussi ici
    3. Utilisateur anonyme
      apparemment il y a une une évolution du traitement alors, puisque chez toi ça se faisait automatiquement, que moi, j'avais le choix de désactiver ou pas... juste un message qui recommandait de désactiver, avec le choix "voulez vous désactiver : oui / non"
  2. jalobservateur Auteur Contributeur sécurité
    Bonjour Hubert/Webernard :)
    Ouais insomnie...
    J'ai jetté un oeil au début avant de poster ici, sur mes distros Linux et sur une seule, sur 4 sur ce DD, le pluggin était présent et activé, puis désactivable.
    J'ai fais des recherches pour savoir si la faille pouvait faire quoi que ce soit sur Linux et à part une explication, d'un de mes contacts ayant bossé chez Sun, qui se perdait en conjoncture et finalement a été incapable de me répondre, comme à mon habitude j'ai conserver une certaine méfiance:)
    Alors j'ai désactivé l'inutile addons , car il y était à cause de fonctions développeurs que j'utilisais rarement.
    Donc absolument rien à signaler pour Linux, même si hier soir un update de ma distro Ubuntu 10.04 a comme toujours supprimé l'ancien java auto et mis le 1.6.0_20 avec lequel sur Fox, je n'ai pas le plugin en question.
    Qu'elle belle idée Linux de vider auto, les poubelles :)
    1. jalobservateur Auteur Contributeur sécurité
      De rien l'ami :)
      Fox a réagit assez tôt aussi c'est bien, Vive le Libre :)
      3. Utilisateur anonyme
        C'est possible que cela provienne de Vista
        Je suis intervenue en urgence sur le PC de mon fils qui avait Java Update 18
        et il a attrapé 3 chevaux de Troie probablement à cause de cette faille
        J'ai tout de suite désinstallé l'ancienne version, et installé la dernière version
        après avoir désinfecté et nettoyé le PC
        1. Smart91 Contributeur sécurité
          @ Nathandre,

          J'ai fait l'essai avec Java upgrade 19 installé sur mon vieux PC sous XP Pro SP3 et FF
          J'ai fais la mise à jour en allant sur le site de Sun/Oracle et j'ai utilisé JavaRa pour la suppresionion de l'ancienne version et aucun problème, elle a bien été supprimée.

          Maintenant il me semble que tu es sous Vista, est-ce que cela viendrait de là ?
          je ne peux pas faire l'essai.
          1. Utilisateur anonyme
            bonjour
            j'ai regardé dans internet explorer, le module dangereux n'y figure pas du tout
            c'est la dernière version qui y figure, mais il est resté dans les modules de firefox
            j'ai rien trouvé dans le dossier de Firefox
            je vais faire SEAF pour voir
            3. jalobservateur Auteur Contributeur sécurité
              Non je veux dire sur ton log HJKTS tu vois quoi ?
              Et dans les processus et/ou services ?
              Le mieux pour toi est d'utiliser un meilleur outil de surveillance : https://www.commentcamarche.net/faq/15721-ameliorer-le-gestionnaire-de-taches
              2. Utilisateur anonyme
                il est désactivé
                quel log ?, Celui de JavaRa ?
                Avec IE, je regarde tout de suite
                1. jalobservateur Auteur Contributeur sécurité
                  Salut, as-tu désactivé le module dans firefox ?
                  Puis ton log te dit quoi ?
                  Les clefs associées, avec IE tu les vois toujours ?
                  1. Utilisateur anonyme
                    j'arrive pas à les supprimer ces modules, ça m'inquiète un peu, et
                    firefox indique un danger de java toolkit version 19, il y a un point
                    d'exclamation blanc sur fond rouge
                    1. jalobservateur Auteur Contributeur sécurité
                      Ok m0e merci des infos c'est très utile :)
                      J'ajoute à ce que j'avais mis sur mon site, tes dernières infos:)
                      J'ouvre un post nouveau sur la question, car les infections augmentent à un ryhtme un peu énervant là....
                      Ouais si jamais je peux poster, car le bouton CCM est mort ?

                      Steve Job 'Apple' est un génie du marketing, Bill Gates un génie de la finance 'W$'
                      puis Linus Torvald et Richard Stallman 'Gnu/Linux' sont des génies de l'informatique...
                      La vérité n'est pas toujours où nous cherchons, mais souvent où l'on refuse de voir...
                      1. jalobservateur Auteur Contributeur sécurité
                        Bon finalement le bouton du bas lui a fonctionné.
                    3. jalobservateur Auteur Contributeur sécurité
                      Euhhh , j'avais pas mentionné, mais au fond ouais je devrais...
                      Alors , : Si par-contre, certain(es) ont des 'logiciels craqués', là vous aimerez pas :)
                      Car, Filehippo Updater, va suggérer l'update par exemple de votre logiciel X et du coup, vous serez repérés ou alors l'update fera en sorte que votre 'illégal' sera rendu inerte et vous recevrez une indication vous disant que désormais, pour l'utiliser vous devrez débourser X$, oupss, ouais il faut être sélectif...
                      Mais au fond, c'est rare que les gens piratent...
                      Ok ---->>> je sors :)
                      Steve Job 'Apple' est un génie du marketing, Bill Gates un génie de la finance 'W$'
                      puis Linus Torvald et Richard Stallman 'Gnu/Linux' sont des génies de l'informatique...
                      La vérité n'est pas toujours où nous cherchons, mais souvent où l'on refuse de voir...
                      1. jalobservateur Auteur Contributeur sécurité
                        Normalement tout des anciens java se vide à la demande...
                        FH = Filehippo.
                        Si jamais il reste des traces de java ,'ce qui n'est pas censé', alors via Ccleaner et + nettoyage en décochant la case (24) hr, et finalement correction des erreurs de registres 2 ou 3 fois, si il reste du java, alors c,est du java exploité et là,on parle de désinfections et non d'updates, comme tu le sais...
                        Des exploitations java sont difficilement contrôlables, même identifiables, mais de véritable menaces pas très drôles à l'image des ActivesX pourris.
                        J'ai vu souvent avec des suppressions de java exploités, de nouvelles lignes apparaitrent sur HJKTS.
                        Dont aussi des exploits Winsock 010.
                        Alors on ne peut que répéter d'éliminer ces failles potentielles java , quand Java eux-même updatent et laisse trainer des objets exploitables sur les machines du monde entier, il faut nous-même faire pour conserver des machines un peu 'potables', dans les limites des connaissances des utilisateurs et sur ce point, ça varie beaucoup et ça devient difficilement contrôlable, sinon en informant quasi à outrance.
                        Au moins y'a de l'avancement, car si nous reculons de 2 à 3 ans, même ici, les helpers ne tenaient pas compte des vieux javas...
                        • 1
                        • 2
                        • 3
                        • 4
                        • 5
                        • 6
                        • 7
                        • 8
                        • 9

                        Discussions similaires

                        Jeux pour itel 5330
                        yewou

                        1 réponse
                        application JAVA sur telephone portable !!!!
                        julio

                        43 réponses
                        application java sur telephone mobile :-)
                        mathieu7530

                        5 réponses
                        Java : Jeux gratuits à télécharger !
                        undertaker3

                        1 réponse
                        Téléchargement de la Bible en français
                        Grande sÅ"ur

                        7 réponses