Lek in Java-machine misleidt surfers

Hacker kan gegevens onderscheppen

05 maart 2002 | Jamie Biesemans Een Nederlandse onderzoeker heeft een kwetsbaarheid ontdekt in verschillende virtuele Java-machines, waaronder de Java Virtual Machine (JVM) die Netscape 6.0 tot 6.1 en Internet Explorer 4 en 5 vergezelt. De fout kan flink wat schade aanrichten: een hacker kan internetverkeer omleiden en gevoelige informatie buitmaken.

JVM is een component die bovenop het besturingssysteem draait en commando's in de Java-taal vertaalt naar bruikbare code. Het wordt vooral aangesproken door de browser, omdat vele webpagina's gebruikmaken van de taal. Omdat de code bijzonder krachtige instructies kan bevatten wordt alle Java afkomstig van het internet om veiligheidsredenen in een beschermde omgeving uitgevoerd. In bepaalde omstandigheden is het echter mogelijk dat Java-applets toegang krijgen tot het gehele systeem.

De kwetsbaarheid treft iedereen die surft via een proxyserver. "Een aanvaller zou deze fout kunnen gebruiken om een internetsessie naar zijn eigen systeem te sturen, zonder dat de gebruiker het opmerkt", waarschuwt Microsoft in een security bulletin.

Als de aanvaller dit handig aanpakt, kan hij alle gegevens bekijken tussen een gebruiker en een server en zelfs creditcardgegevens kunnen buitmaken. De meeste e-commercesites gebruiken echter versleutelde betaalmethodes, zodat deze informatie niet leesbaar is.

De schade wordt enigszins beperkt doordat de meest recente versies van Internet Explorer (6.0) en Netscape Navigator (6.2) een oplossing voor het probleem bevatten. Netscape, Microsoft en Sun, de uitvinder van Java, zijn al sinds april vorig jaar op de hoogte van het probleem, maar hebben het stilgehouden. Intussen hebben ze hun nieuwe browsersoftware aangepast.

Zowel Microsoft als Netscape heeft inmiddels patches uitgebracht voor zijn browser of stelt voor te upgraden naar de nieuwste versie. De patch van Microsoft vind je hier, Netscape Navigator-gebruikers kunnen hier terecht. Lees meer artikels over : java, browser

bron: ZDNet