Java零時差漏洞攻擊恐氾濫　Firefox考慮直接封鎖

資安專家發現，利用Java零時差漏洞進行攻擊的活動有即將大幅增加的跡象，可能成為目前網路攻擊的主要方式，而且零時差攻擊所使用的Java 7漏洞已經增為兩個。Mozilla更考慮釋出更新讓Firefox封鎖有漏洞的Java執行。

據了解，位於波蘭的資安公司Security Explorations早在四月就指出Java 7具有19個漏洞，並已經把資料提供給Oracle。但該公司創辦人Adam Gowdiak以電子郵件向媒體表示，此次攻擊所使用的兩個漏洞包含在四月提供的報告之內，而Oracle預計在10月的定期更新才要修復。

揭發此事件的資安公司FireEye及另一家資安公司Websense週二均預測該漏洞會被整合入駭客攻擊套件BlackHole，僅數小時之後這項預測就成為事實，FireEye觀察到數個網站遭入侵，成為攻擊使用者的跳板，而Websense在昨天表示，遭入侵的網站已經破百，並預估數量會快速成長。

資安公司Seculert表示，BlackHole是駭客最喜愛的攻擊工具包，入侵伺服器的案件有85%是使用該工具包。更糟糕的是，以往使用者連結到BlackHole入侵的網站遭受感染的比例，依套件版本不同在10%到25%之間，而此次發現的零時差漏洞將BlackHole套件攻擊成功的比例拉高到75%至99%。

盡管許多專家已經呼籲使用者將Java解除安裝或禁用，但F-Secure一份非正式調查顯示，大部分使用者並未遵循專家的指導。資安專家表示，在Oracle公司釋出Java修補程式之前，即使日常工作中需使用到而無法解除安裝Java的使用者，至少應該在瀏覽器中禁止Java執行。

Mozilla基金會則發文建議，用戶在Firefox瀏覽器中暫時禁用Java，甚至考慮在此事件解決之前，自動將Java列入禁止執行的項目，或者是在使用者需要使用到Java時提供顯眼的警告選項。一位Firefox資安工程師Daniel Veditz在部落格中指責，如果不在Firefox中封鎖Java，Oracle是不會在10月的Java定期更新之前推出修正程式的。（編譯/沈經）