Faille très critique Java, non corrigée...
Résolu
Avis aux utilisateur de Windows, toutes éditions.
Une faille importante vient juste d'être découverte dans Java et non corrigée pour le moment...
Le fait de désactiver le Java-script ne protège pas contre l'exploitation de cette vulnérabilité.
Actuellement sans information claire de la part de Sun sur la correction de cette faille, il est conseillé à l'utilisateur de modifier manuellement ses configurations logicielles.
Pour les deux navigateurs suivants, les manipulations ci-dessous permettent de limiter les risques:
-------------------------------------------------------------------------------------
1: Pour Firefox: Vérifiez si vous avez dans vos plugins ceci:
Java Deployment Toolkit .
Si tel est le cas, ouvrez le menu Outils et choisissez 'Modules complémentaires'.
Dans l'onglet Plugins sélectionnez Java Deployment Toolkit et cliquez sur Désactiver.
---------------
2: Pour Internet Explorer, il est nécessaire de placer un 'Bit d'arrêt' pour l'ActiveX suivant: ''Classe ID CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA''. Ici un tuto sur la façon dont réaliser cette manipulation: https://support.microsoft.com/en-us/topic/out-of-date-activex-controls-3ad33b2d-1cee-5d46-1234-e70714324850
Moins freindly user comme manipulations, mais essentielles.
@+
----------
Explication de la menace : La méthode d'attaque permet d'exécuter du code arbitraire à l'exécution du lanceur web Java. Donc par la suite exécuter avec permissions administratives, des gestes graves et prise de contrôle des machines ciblées.
-------------------
Infos supplémentaires:Java Deployment Toolkit est installé automatiquement avec le Java Runtime Environment depuis la version 6 (release 10) dans les navigateurs Internet comme Microsoft Internet Explorer, Mozilla Firefox ou Google Chrome.
Steve Job 'Apple' est un génie du marketing, Bill Gates un génie de la finance 'W$'
puis Linus Torvald et Richard Stallman 'Gnu/Linux' sont des génies de l'informatique...
La vérité n'est pas toujours où nous cherchons, mais souvent où l'on refuse de voir...
Une faille importante vient juste d'être découverte dans Java et non corrigée pour le moment...
Le fait de désactiver le Java-script ne protège pas contre l'exploitation de cette vulnérabilité.
Actuellement sans information claire de la part de Sun sur la correction de cette faille, il est conseillé à l'utilisateur de modifier manuellement ses configurations logicielles.
Pour les deux navigateurs suivants, les manipulations ci-dessous permettent de limiter les risques:
-------------------------------------------------------------------------------------
1: Pour Firefox: Vérifiez si vous avez dans vos plugins ceci:
Java Deployment Toolkit .
Si tel est le cas, ouvrez le menu Outils et choisissez 'Modules complémentaires'.
Dans l'onglet Plugins sélectionnez Java Deployment Toolkit et cliquez sur Désactiver.
---------------
2: Pour Internet Explorer, il est nécessaire de placer un 'Bit d'arrêt' pour l'ActiveX suivant: ''Classe ID CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA''. Ici un tuto sur la façon dont réaliser cette manipulation: https://support.microsoft.com/en-us/topic/out-of-date-activex-controls-3ad33b2d-1cee-5d46-1234-e70714324850
Moins freindly user comme manipulations, mais essentielles.
@+
----------
Explication de la menace : La méthode d'attaque permet d'exécuter du code arbitraire à l'exécution du lanceur web Java. Donc par la suite exécuter avec permissions administratives, des gestes graves et prise de contrôle des machines ciblées.
-------------------
Infos supplémentaires:Java Deployment Toolkit est installé automatiquement avec le Java Runtime Environment depuis la version 6 (release 10) dans les navigateurs Internet comme Microsoft Internet Explorer, Mozilla Firefox ou Google Chrome.
Steve Job 'Apple' est un génie du marketing, Bill Gates un génie de la finance 'W$'
puis Linus Torvald et Richard Stallman 'Gnu/Linux' sont des génies de l'informatique...
La vérité n'est pas toujours où nous cherchons, mais souvent où l'on refuse de voir...
167 réponses
Résumé de la discussion
Une faille critique dans Java a été signalée et restait non corrigée à ce jour; le simple désactivation de JavaScript ne protège pas contre l’exploitation, d’où des ajustements manuels des configurations recommandés. Pour Firefox, vérifiez la présence du Java Deployment Toolkit dans les plugins et désactivez-le via Outils > Modules complémentaires, onglet Plugins. Pour Internet Explorer, appliquez un kill bit à l’ActiveX identifié par le CLSID CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA, ou désactivez Deployment Toolkit dans les modules complémentaires. Après mise à jour de Java, vérifiez les DLL et emplacements concernés (par exemple npdeploytk.dll et npdeployJava1.dll dans bin/new_plugin et System32), et assurez-vous que le registre ActiveX contient le flag de compatibilité approprié afin d’atténuer l’exploitation.
-
Contributeurje viens a l'instant d'avoir une MÂJ de firefox, qui m'as activement désactivé les les module de java afin de protéger mon pc ;-)
merci tonton jalobservateur d'avoir fait du bruit ;-)
tu as était entendu !!!-
c'est ce que je disais déjà là
-
Contributeur sécurité
-
-
-
Merci pour l'info
-
Contributeur sécuritéSalut Jal, ;-)
Merci bien pour cette info très importante.
@+
-
Merci. Contributeur du WEB.
-
Contributeur sécuritéSalut tous ;)
up! -
Contributeur sécuritéAutre petit up pour limiter les dégats :)
PS: Si d'autres peuvent passer dans la journée, ça serait sympa :) -
Salut à tous
Voici un Pof pour tester la faille en live, le lien est non viral, il provoque juste l'exécution de la calculatrice.
Et surtout histoire de tester les solutions provisoires préconisées...
http://lock.cmpxchg8b.com/bb5eafbc6c6e67e11c4afc88b4e1dd22/testcase.html
Bonne continuation.
++ -
Contributeur sécuritéBonjour,
après l'application des correctifs, le lien de moe donne ceci sur mon ordi (Xp Sp3)
- Firefox : des Plugins supplémentaires sont nécessaires
- IE8 : "terminé" sans que rien d'autre ne se produise.
===
Comme la manip sous IE est pas très drôle (j'ai un peu galéré pour y parvenir), le fix.reg de correction :
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA}] "Compatibility Flags"=dword:00000400 -
Contributeur sécuritéSalut Vincent :)
Ouais je sais sous IE c'est moins évident en effet.
J'ai pas IE alors difficile de trouver comment faire plus simplement..
Fox c'est dans la poche
https://pix.louiz.org/1271245757.png -
Contributeur sécuritéRe,
j'aurais pu être plus complet.
En autonome :
Ouvre le Bloc-Notes et copie les lignes ci-dessous
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA}] "Compatibility Flags"=dword:00000400
Enregistre le fichier sur ton Bureau sous le nom fix.reg (attention, l'extension reg est nécessaire).
Double clic sur le fichier fix.reg sur ton Bureau.
Acceptes l'avertissement concernant la fusion
Le fix va travailler sans se manifester.
A la fin, tu vas voir un message disant que la fusion est terminée. Tu valides.
Pour vérifier, ouvre ce lien (sous Internet Explorer) :
http://lock.cmpxchg8b.com/bb5eafbc6c6e67e11c4afc88b4e1dd22/testcase.html
Si rien ne se passe, tu es protégé de cette faille.
Si la calculatrice s'exécute, le fix n'a pas fonctionné.
===
Les helpers adapteront pour une utilisation avec un script d'un outil de désinfection.
-
Contributeur sécuritéSalut,
avec au lien test donné par moe ,
les deux solutions données par Jal ( pour FF) et par (Lyonnais92) pour IE on parfaitement fonctionné chez moi ... ;)
A+
-
Contributeur sécuritéyop,
Avast est devenu parano ! ... :))))
parcontre AntiVir n'as pas tiqué du tout ... :(
Salut loll Nah Avast a commencé à faire son boulot je pense :)
Steve Job 'Apple' est un génie du marketing, Bill Gates un génie de la finance 'W$'
puis Linus Torvald et Richard Stallman 'Gnu/Linux' sont des génies de l'informatique...
La vérité n'est pas toujours où nous cherchons, mais souvent où l'on refuse de voir... -
bonjour tout le monde,
j'ai testé le lien avant de me lancer, pas de surprises, la calculette apparait !
j'ai testé la solution à vincent sur mon pc, sous IE, ça foinctionne :-)
pas d'apparition de calculette ;-)
un petit UP au passage ;-) -
Bonjour
Merci de l'info, je viens de désactiver le plugin indiqué par
jalobservateur -
la solution de Lyonnais92 marche-t-elle pour tous les Windows ?
-
ouh là, je ne suis pas protégée contre cette faille, la calculatrice s'exécute
je remonte le sujet, car là, c'est très important -
Bonjour,
Pour la version Java: 6.0.190.4
l'astuce de firefox impeccable, même en éteignant FF et en le ré ouvrant, le module reste sous désactiver.
Pour la version Java: 6.0.180.7
l'astuce de firefox fonctionne mais si l'on éteint Firefox et on le redémarre le module complémentaire se réactive automatiquement.
PS: je remets en lien la demande de nathandre:
https://forums.commentcamarche.net/forum/affich-17368464-faille-tres-critique-java-non-corrigee#22
A+Lusche Philippe -
La calculatrice s'exécute avec Firefox, et après, j'ai désactivé le plugin, cela
semble protéger de cette faille
avec IE, je ne fusionne pas sans savoir si c'est valable pour tous les Windows -
Afin de remonter le sujet, quand je ferme firefox et que je le redémarre
le module reste désactivé, cette méthode marche pour moi aussi -
Contributeur sécuritéJuste pour remonter le sujet et remettre la question de Nathandre:
https://forums.commentcamarche.net/forum/affich-17368464-faille-tres-critique-java-non-corrigee#21
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
Suivant
