Apesar das significativas melhorias na segurança do Java feitas pela Oracle durante os últimos seis meses, as vulnerabilidades continuam a representar um grande risco para organizações, porque a maioria delas possui versões desatualizadas do software em seus sistemas, de acordo com um relatório da empresa de segurança Bit9.
O estudo foi divulgado na última quinta-feira (18) e se baseia em dados sobre o uso do Java coletados de aproximadamente 1 milhão de sistemas de endpoints de quase 400 organizações que usam o serviço de reputação de software da Bit9.
Os dados mostram que o Java 6 é a versão que mais prevalece em ambientes corporativos – presente em mais de 80% dos computadores. Vale lembrar que essa versão teve o suporte público encerrado em abril, e apenas os clientes da Oracle com um contrato de longo prazo continuarão a receber atualizações de segurança para ela.
Além disso, a maioria das empresas que rodam o Java 6 não têm as últimas atualizações de segurança para ele, diz o relatório. O Java 7, a versão que é o foco dos recentes esforços de segurança da Oracle, foi encontrado somente em cerca de 15% dos sistemas de endpoints.
A versão Java mais amplamente difundida, de acordo com dados da Bit9, foi a Java 6 Update 20, instalada em um pouco mais de 9% dos endpoints. Essa versão é vulnerável a um total de 215 problemas de segurança – 96 dos quais receberam a pontuação máxima de risco da escala Common Vulnerability Scoring System (CVSS), disse a Bit9.
A última atualização de segurança pública disponível para o Java 6 é o Update 45, lançado em abril ao mesmo tempo que o Java 7 Update 21 – a última versão disponível quando a Bit9 coletou os dados para o seu relatório.
Apenas 3% dos sistemas de computadores das empresas estavam rodando essa atualização, disse a Bit9. No entanto, esses endpoints pertenciam a apenas 0,25% das organizações da amostra – o que parece indicar que as companhias com um número maior de terminais são mais propensas a ter a última versão do Java instalada em seus sistemas.
Muitas versões
Outra questão é que muitos sistemas corporativos possuem várias versões do software. Cerca de 65% deles possuíam mais do que duas versões do Java instaladas ao mesmo tempo, e cerca de 20% possuía mais de três versões.
Segundo o relatório da Bit9, em média, as organizações têm mais de 50 versões diferentes do Java instaladas. Cerca de 5% das empresas possuem mais de 100 versões. Este problema decorre, principalmente de como o processo de instalação e atualização do software lida com versões antigas.
O atualizador do Java 7 tentará remover instalações existentes do Java 6, mas uma instalação limpa do Java 7 não removerá versões antigas, disse Harry Sverdlove, CTO da Bit9. As versões do Java 5 não são removidas durante a instalação do Java 7 ou processos de atualização, disse.
Os dados da Bit9 mostraram que 93% das organizações tem uma versão do Java em alguns de seus sistemas, que possui no mínimo cinco anos de idade. Versões de 5 a 10 anos de idade estão presentes em 50% das máquinas.
O problema de ter múltiplas versões instaladas ao mesmo tempo em um sistema é que os atacantes podem usar as versões mais antigas e vulneráveis para invadir o computador. Quando isso acontece, a segurança das versões mais recentes não ajuda.
Ter diferentes versões em um mesmo sistema aumenta a usabilidade, podendo executar aplicativos legados, mas de uma perspectiva de segurança é um pesadelo, disse Sverdlove. Cada versão instalada introduz ainda outro conjunto de vulnerabilidades conhecidas que crackers podem usar, disse.
Solução
Na maioria dos casos, esse tipo de fragmentação dentro de ambientes corporativos não é intencional – muitas não entendem ou não mantêm o controle sobre quantas versões foram instaladas, disse Sverdlove.
Em primeiro lugar, as organizações devem avaliar quais as versões Java possuem e onde estão instaladas, disse Sverdlove. O próximo passo é, por questões de política de segurança, considerar seriamente se precisam do Java e, em caso afirmativo, para quê, disse ele.
Os resultados da avaliação vão variar de empresa para empresa, disse Sverdlove. Independente das necessidades individuais do Java, as organizações devem criar uma política de desenvolvimento e aplicá-la, disse Sverdlove disse. Se a sua política é a de não ter Java, então eles devem usar ferramentas para bloqueá-lo, se determinarem que só precisam do software em certas máquinas, então devem removê-la de todas as outras, explicou.
O mais comum para crackers é atacar instalações Java por meio de plugins de navegadores, usando exploits hospedados em websites.
O relatório da Bit9 não contém informações específicas sobre quantas das instalações Java identificadas em endpoints corporativos eram acessíveis por meio de browser nos PCs. No entanto, a maioria dos sistemas amostrados eram computadores portáteis e desktops, de modo que a probabilidade das instalações expostas a ataques é alta, Sverdlove disse.
Site: Computerworld
Data: 22/07/2013
Hora: 11h32
Seção: Segurança
Autor: Lucian Constantin
Link: http://computerworld.uol.com.br/seguranca/2013/07/19/maioria-das-empresas-ainda-possui-instalacoes-java-vulneraveis/