Internet Explorer blokkeert verouderde Java-versies
De updates die volgende week verschijnen tijdens Patch Tuesday bevatten de oplossing voor een enorm beveiligingsprobleem.
Een update voor Internet Explorer voor pc"s met Windows 7 Service Pack 1 of Windows 8.x, introduceert een nieuwe veiligheidsoptie met de naam out-of-date ActiveX control blocking. Microsoft kondigde de wijzigingen eerder deze week aan in een blogpost.
[related_article id=”161452″]
ActiveX controls, die de mogelijkheden van Internet Explorer flink vergroten maar ook op potentieel gevaarlijke manieren, zorgen al meer dan tien jaar voor hoofdpijn bij Windows-gebruikers. Verbeteringen in het ontwerp van ActiveX hebben de aanvallen doen afnemen. Het nieuwe kader zorgt ervoor dat hackers geen misbruik kunnen maken van bekende zwakke plekken van ActiveX wanneer het geïnstalleerd is, maar nog niet bijgewerkt naar de nieuwste versie.
Verouderde versies
In eerste instantie richt de nieuwe optie zich eigenlijk alleen op het meest gevaarlijke ActiveX-onderdeel van allemaal: Java. Door de jaren heen is Java het favoriete doelwit geweest van malwareschrijvers die weten dat de kans groot is dat Windows-pc"s en Mac verouderde versies van de software draaien. Het proces is zelfs geautomatiseerd door het inzetten van speciale vallen op bepaalde websites.
In de blogpost waarin de wijziging wordt aangekondigd, citeert Microsoft zijn meest recente Security Intelligence Report. Daarin staat dat in 2013 Java verantwoordelijk is voor meer dan tachtig procent van de gevonden exploit-kits. In alle gevallen waren de aanvallen gericht op een zwakke plek waarvoor al een fix voor is verschenen, maar pc"s zonder de laatste versie vormen een makkelijk doelwit.
XML-lijst
De functionaliteit maakt gebruik van een XML-bestand om te bepalen welke ActiveX controls niet geladen mogen worden. Het bestand, dat regelmatig bijgewerkt wordt, staat op de servers van Microsoft. De eerste keer schakelt versionlist.xml oudere versies van Java uit waarvan bekend is dat ze niet veilig zijn. In een later stadium voegt Microsoft nog andere verouderde en potentieel gevaarlijke ActiveX controls aan toe.
Wanneer je deze update installeert checken alle ondersteunde versies van Internet Explorer (IE 8 tot en met IE 11 op Windows 7 en IE voor je desktop op Windows 8) de lijst op de server als ze een ActiveX control tegenkomen op een website. Als de versie gemarkeerd staat als verouderd dan wordt het component niet geactiveerd. De gebruiker krijgt tevens een melding dat het verstandig is om te updaten naar de laatste versie.
Volgens Microsoft staan in eerste instantie alleen onderstaande versies van Java op de zwarte lijst:
- J2SE 1.4, alles onder update 43
- J2SE 5.0, alles onder update 71
- Java SE 6, alles onder update 81
- Java SE 7, alles onder update 65
- Java SE 8, alles onder update 11
In een moderne versie van Internet Explorer ziet de waarschuwing er als volgt uit:
Als een webpagina een kwetsbare app buiten je browser probeert te laten krijg je een andere melding:
Consumenten hebben nog steeds de mogelijkheid om onveilige software te draaien, maar het waarschuwingsbericht voorkomt dat geautomatiseerde aanvallen kans van slagen hebben.
Systeembeheer
Op zakelijke netwerken kunnen de systeembeheerders de configuratie zo aanpassen dat een verouderde versie van Java geblokkeerd is en hoe dan ook niet draait. Het is mogelijk websites die afhankelijk zijn van een specifieke oudere versie van Java toe te voegen aan de Local Intranet Zone or Trusted Sites Zone.
Extra functionaliteiten voor systeembeheerders zijn de instellingen voor groepen met ondersteuning voor logboeken, centrale managementfuncties van toegestane websites en de mogelijkheid om het groepsbeleid volledig uit te schakelen.
Andere browsers
Met de veranderingen van volgende week zet Internet Explorer zich eindelijk weer naast de andere browsers op het Windows-platform. Die beschikken stuk voor stuk al langere tijd over een dergelijke functionaliteit. Firefox bijvoorbeeld, heeft een lijst met geblokkeerde plug-ins met daarop Java plugin 7 updates onder de 44 en Java 6 plugin updates onder de 45. Google Chrome introduceerde een vergelijkbare lijst in 2011. Apple verklaart regelmatig versies van Java als verouderd en blokkeert deze dan in Safari.
Zoals gewoonlijk is een Java-aanval het beste te voorkomen door simpelweg de software niet te installeren. Wanneer je dat toch doet, zorg dan dat Java up-to-date blijft. Samen met deze nieuwe beveiligingsopties vormt dat een goede verbetering ten opzichte van de erbarmelijke staat waarin de veiligheid van Java zich bevindt.
