Une faille de sécurité récemment découverte dans le plugin Java développé par Oracle pourrait permettre à une personne malveillante d’exécuter des commandes à distance sur l’ordinateur de la victime. Oracle n’a pas encore publié de correctif et la vulnérabilité est exploitée sur des sites web à fort trafic. Le gouvernement américain a même publié une déclaration recommandant aux utilisateurs de ne plus utiliser Java.
Un chercheur français connu sous le nom de Kafeine a expliqué dans son blog que la faille était exploitée sur un site avec des centaines de milliers de visites quotidiennes, ce qui répand rapidement la vulnérabilité. Le BlackHole Exploit Kit et le Cool Exploit Kit, deux outils utilisés par les pirates pour distribuer des logiciels malveillants, profitent déjà de la faille de sécurité.
La société de sécurité AlienVault a reproduit avec succès l’échec en exécutant une commande pour ouvrir l’application Calculatrice sur une machine avec Windows XP et Java 7 Update 10, avec toutes les corrections de sécurité appliquées. Selon Kurt Baumgartner, chercheur à Kaspersky Lab, la faille s’est étendue aux sites d’information, de météo et de contenu pour adultes dans plusieurs pays, notamment au Royaume-Uni, en Russie et en France.
Bien qu’Oracle ne publie pas de correctif de sécurité, la recommandation est de désactiver le plugin Java dans votre navigateur. Si vous avez et n’utilisez pas le plugin Java (pour accéder à des sites bancaires, par exemple), la meilleure chose à faire est de le désinstaller. Ce n’est pas la première fois qu’un bogue de Java est exploité à grande échelle — une recherche rapide dans les nouvelles déjà publiées par PerlmOl le montre clairement.
