Java è sicuro? Come difendersi dalle minacce più recenti

Se sul vostro personal computer è installato il pacchetto Java ma esso non è stato aggiornato all’ultima versione potreste rischiare di vedere eseguito codice dannoso semplicemente “navigando” sul web. Gli autori di alcuni strumenti software impiegati da una vasta schiera di malintenzionati per mettere a punto codice in grado di far leva su vulnerabilità note nei vari pacchetti software, mantengono costantemente aggiornato l’elenco di lacune di sicurezza presenti nelle varie versioni del pacchetto Java.

Alcune delle vulnerabilità rilevate nel pacchetto Java sono estremamente pericolose perché, se sfruttate da parte di un sito malevolo, possono portare all’esecuzione di codice nocivo all’infuori del browser web superando quelle restrizioni imposte dai meccanismi di sandboxing che molti prodotti oggi utilizzano.

Gli attacchi che fanno leva su vulnerabilità note via a via scoperte nel pacchetto Java si sono dimostrati particolarmente fruttuosi, in termini economici, per gli aggressori. Le ragioni di un così ampio interesse per gli attacchi nei confronti degli utenti di Java risiedono nel fatto che molte persone non sanno di averlo installato, non conoscono come verificare la versione impiegata e come aggiornarla, non sono consapevoli delle impostazioni che permettono (o meno) ai browser vero di farne uso. Per non parlare della popolarità di Java: secondo i dati di Oracle, il prodotto sarebbe oggi installato su oltre 3 miliardi di sistemi a livello mondiale.

Il pericolo che arriva dagli exploit “zero-day”

Con l’espressione “zero day” vengono comunemente definiti gli attacchi informatici che hanno inizio “nel giorno zero” ossia dal momento in cui è scoperta una falla di sicurezza in un programma specifico. Questo tipo di aggressioni, se ben studiate, possono mietere molte vittime proprio poiché il produttore dell’applicazione vulnerabile non ha evidentemente ancora avuto il tempo di rilasciare una patch correttiva.

Il pacchetto Java è stato purtroppo spesso protagonista di questo tipo di situazioni. Ne è l’ennesima riprova quanto sta accadendo in questi giorni. Sono infatti venute alla luce due pesanti vulnerabilità in Java 7.0 update 6, la release più aggiornata del software di Oracle, che potrebbero facilitare attacchi informatici di svariato genere tesi a sottrarre informazioni personali o a danneggiare i dati memorizzati sul sistema.

La situazione è estremamente critica perché, se da un lato Oracle non ha ancora pubblicato una patch risolutiva, gli sviluppatori di malware stanno già iniziando a sferrare i primi attacchi basati sui dettagli tecnici emersi nelle scorse ore. Gli autori di BlackHole, uno dei più famosi strumenti di attacco, hanno già aggiornato il proprio software inserendo il codice exploit in grado di far leva sulle “debolezze” di Java 7.0.
Alcuni siti Internet malevoli stanno già iniziando a diffondere il codice che consente di aggredire il sistema client di qualunque utente che si colleghi alla pagina infetta da un sistema con il pacchetto Java 7.0 preinstallato.

Come verificare se Java 7.0 è installato e se può eseguire applet dal browser web

Puntando il browser a questo indirizzo, è possibile controllare la versione del pacchetto Java (tipicamente Java JRE) eventualmente installata sul proprio sistema.
Il messaggio “Nel sistema non è stata rilevata l’esecuzione di Java” sta a significare che il browser in uso non è in grado di eseguire applet Java. Qualunque tentativo, da parte di un sito web malevolo, di sfruttare una vulnerabilità insita nel pacchetto Java, quindi, non potrà andare a buon fine.

Viceversa, nel caso in cui si fosse installata una qualunque versione di Java e questa risultasse attiva e funzionante, si otterrà un messaggio simile al seguente:

Come disabilitare Java 7.0 sino al rilascio di un aggiornamento ufficiale

La soluzione temporanea, rispetto al problema delle vulnerabilità di sicurezza appena venute a galla, sintanto che Oracle non provvederà alla pubblicazione di un aggiornamento risolutivo, consiste nella disinstallazione del software oppure nella sua disabilitazione temporanea.

La procedura da seguire per disattivare l’esecuzione delle applet Java dai vari browser web è differente ma consigliamo di applicarla per tutti i prodotti installati sul personal computer.

Gli utenti di Firefox possono procedere accedendendo al menù Strumenti, Componenti aggiuntivi (per provocare la comparsa della barra del menù è sufficiente premere il tasto ALT), cliccando sulla scheda Plugin quindi disattivando tutte le voci relative al pacchetto Java.

Tornando a visitare questa pagina (non è neppure necessario il riavvio del browser), il sito di Oracle mostrerà un messaggio che indica la mancata rilevazione del pacchetto Java.

In Chrome, è sufficiente digitare about:plugins nella barra degli indirizzi del browser e cliccare sui link Disabilita in corrispondenza dei plugin Java.

I passaggi che gli utenti del browser Opera debbono applicare sono assolutamente identici: basta infatti digitare about:plugins nella barra degli indirizzi e cliccare su Disabilita in corrispondenza dei plugin di Java:

La procedura da seguire per disattivare Java in Internet Explorer è leggermente più complessa. La via più semplice da percorrere consiste nel portarsi all’interno della cartella d’installazione del pacchetto di Oracle (generalmente, C:\Program Files\java\jre7\bin), cliccare con il tasto destro del mouse sul file javacpl.exe quindi selezionare Esegui come amministratore.

Portandosi nella scheda Avanzate, si dovrà cliccare sulla Java predefinito per browser quindi togliere il segno di spunta dalla casella Internet Explorer.
Per disattivare la casella Internet Explorer si dovrà selezionarla quindi premere la barra spaziatrice sulla tastiera. Per confermare la modifica, si dovrà fare clic sul pulsante OK in basso.

Su Mac OS X, gli utenti di Safari debbono accedere alle preferenze, alla scheda Sicurezza quindi disabilitare l’utilizzo di Java.

Non appena i tecnici di Oracle avranno pubblicato la nuova versione di Java, capace di risolvere le vulnerabilità messe a nudo in questi giorni, si potrà provvedere alla riabilitazione dei plugin.

Nota bene: Le lacune di sicurezza che alcuni aggressori hanno cominciato a sfruttare, sembra siano presenti solo in Java 7.0 update 6 e release precedenti. Gli utenti di Java 6.0 dovrebbero essere, per il momento, al sicuro. È comunque bene accertarsi di utilizzare sempre la versione più aggiornata del pacchetto Java.