Oracle 提前发布 2 月份 Java 安全更新,解决 50 项缺陷

  • Charles Humble
  • 臧秀涛

2013 年 2 月 6 日

话题:安全语言 & 开发

Oracle发布Java 主要安全更新。该更新原定 2 月 19 日发布,但因为影响桌面浏览器中 Java 运行时环境(JRE)的缺陷中有一个可能会被积极利用,所以提前两周于上周五发布。

据最新的Oracle Risk Matrix介绍,该更新覆盖了 50 项缺陷:其中 49 项可能被远程利用,换句话说,比如只是访问网页就可能被感染;26 项在通用漏洞评分系统(CVSS)中的风险分为 10,这是该系统中的最大分值。Oracle 并没有说明会被积极利用的远程代码执行漏洞是哪一个,但是该补丁已解决这个问题。

Sophos 安全博客提供了一些信息,并且指出“相对于基于 Windows 的.EXE 文件或 OS X 原生二进制文件的应用程序,没有什么特殊原因说明 Java 会带来更大的风险”。然而,因为 Java 是一种跨浏览器和跨平台的技术,并且装机量巨大,因此对恶意软件和病毒作者来说,攻击 Java 是“收益很高的锻炼”。所以 Sophos 建议用户将本地安装的 Java 更新到最新版本。此外,由于大部分攻击都是通过 Web 进入的,因此建议浏览器用户关闭浏览器中的 Java 支持,除非可以确信需要 Java 支持的网站是安全的。

Oracle 最新的官方版本是Java 7 Update 13Java 6 Update 39。正如我们之前所报道的那样,本月(2013 年 2 月)标志着 Java 6 已经走到了终点。如果用户使用的是 OS X 10.6(雪豹),Apple 上的最新更新是 Java for Mac OS X 10.6 Update 12。

按今年计划,Oracle 目前至少有两个 Java SE 关键补丁更新,下一次在 6 月 18 日。

查看英文原文Oracle Releases February Java Security Update Ahead of Schedule Dealing with 50 Flaws

安全语言 & 开发