ออราเคิลออกแพตช์ให้ Java SE รอบเดือนเมษายน 2013 (นับเวอร์ชันเป็น Java 7 update 21 และ Java 6 update 45) ซึ่งแพตช์นี้แก้ปัญหาเรื่องช่องโหว่ใน Java ไปถึง 42 จุด ถือเป็นการอุดรูรั่วความปลอดภัยครั้งใหญ่สำหรับโลกของ Java

แพตช์ชุดนี้ยังเพิ่มหน้าต่าง dialog box แจ้งเตือนเมื่อผู้ใช้รัน Java applet ที่มีความเสี่ยงด้วย (เมื่อก่อนเคยมีหน้าต่างนี้ แต่มีบั๊กไม่ยอมเช็คใบรับรองดิจิทัลที่ถูกเพิกถอน)

ดัชนีวัดความนิยมของภาษาโปรแกรม TIOBE เผยสถิติเดือนเมษายน ภาษา Objective-C ร่วงลงสู่อันดับ 4 เป็นครั้งแรกที่ตำแหน่งลดลง (ก่อนหน้านี้อันดับพุ่งขึ้นเรื่อยๆ จนมาหยุดที่อันดับ 3) โดน C++ แซงกลับสู่ตำแหน่งเดิมอีกครั้ง

หลาย ๆ คนคงจำภาษา Xtend กันไม่ได้ ภาษา Xtend เป็นหนึ่งในโครงการของมูลนิธิ Eclipse โดยมีเป้าหมายให้ Java ดูน่าใช้งานมากขึ้น โดยมีลักษณะเด่นอยู่ที่ตัวโค๊ดจะถูกแปลให้อยู่ในรูปของโค๊ดภาษา Java ก่อนที่จะถูกแปลให้เป็น Java bytecode อีกทีหนึ่ง ซึ่งต่า

ผู้เชี่ยวชาญด้านความปลอดภัย Eric Romang พบช่องโหว่ใหม่ของ Java ที่เกี่ยวข้องกับใบรับรองดิจิทัล (digital certification)

ตามปกติแล้ว แอพเพล็ต Java ที่ถูก sign ด้วยใบรับรองดิจิทัลจะถูกมองว่าเชื่อถือได้ และสามารถทำงานได้ทันที (โดยผู้ใช้ไม่ต้องกดยินยอมก่อน) ในระดับความปลอดภัยแบบ High ซึ่งเป็นค่าดีฟอลต์ของ Java SE อยู่แล้ว

แต่ล่าสุดมีคนพบว่าแอพเพล็ตที่ถูก sign ด้วยใบรับรองดิจิทัลจากบริษัทที่มีตัวตนจริงแห่งหนึ่ง กลับเป็นมัลแวร์ที่ปลอมตัวมาด้วยใบรับรองที่ถูกขโมยไป ทำให้มัลแวร์ตัวนี้สามารถทำงานได้ทันทีถ้าหากผู้ใช้เข้าเว็บไซต์ที่ฝังแอพเพล็ตเอาไว้ โดย Java จะไม่ขึ้นคำเตือนใดๆ เพราะถือว่าเป็นแอพเพล็ตที่เชื่อถือได้

Red Hat ประกาศรับช่วงบทบาทการเป็นผู้นำโครงการ OpenJDK 6 ต่อจากออราเคิล หลังจากออราเคิลหยุดสนับสนุน Java 6 อย่างเป็นทางการเมื่อช่วงสิ้นเดือนกุมภาพันธ์ที่ผ่านมา

Red Hat อธิบายว่าหน่วยงานจำนวนมากยังใช้ Java 6 อยู่ (โดยเฉพาะลูกค้า JBoss ของบริษัทเอง) และต้องการสนับสนุน Java 6 ต่อไปผ่านโครงการ OpenJDK ที่เป็นโอเพนซอร์ส (Red Hat มีส่วนกับ OpenJDK มานานแล้ว แต่ไม่ได้เป็นผู้นำโครงการ)

ที่มา - Red Hat

ต่อจาก พบอีก 2 ช่องโหว่ใหม่ใน Java รุ่นล่าสุด 7u15 ออราเคิลก็ประกาศออก Java 7u17 (ข้ามเลข 16) เพื่อแก้ปัญหาทั้ง 2 จุดแล้ว

ออราเคิลให้ข้อมูลว่าได้รับรายงานช่องโหว่ดังกล่าวเมื่อวันที่ 1 กุมภาพันธ์ ซึ่งช้าไปสำหรับการออกแพตช์รอบ 19 กุมภาพันธ์ และตั้งใจจะรวมแพตช์ไว้ในการออกรอบ 16 เมษายนแทน แต่เมื่อมีรายงานว่าช่องโหว่นี้ถูกใช้งานในวงกว้าง บริษัทจึงตัดสินใจออกแพตช์ชุดนี้ทันที

อย่างไรก็ตาม ผู้เชี่ยวชาญความปลอดภัย Security Explorations จากโปแลนด์ ก็ประกาศว่าพบช่องโหว่ใหม่ของ Java อีก 5 จุด ตอนนี้ยังไม่มีรายงานการโจมตีด้วยช่องโหว่ชุดใหม่นี้ และส่งข้อมูลให้ออราเคิลเรียบร้อยแล้ว

Adam Gowdiak นักวิจัยด้านความปลอดภัยจากบริษัท Security Explorations ประกาศว่าค้นพบช่องโหว่ใหม่อีก 2 จุด ซึ่งใช้ได้กับ Java SE 7 Update 15 รุ่นล่าสุดในปัจจุบัน (ไม่มีผลกับ Java 6)

ช่องโหว่ 2 จุดนี้คล้ายกับช่องโหว่ชุดก่อนๆ หน้านี้ นั่นคือสามารถลัดระบบความปลอดภัย sandbox ของ Java ได้

Gowdiak ส่งข้อมูลของช่องโหว่ไปยังออราเคิลตามธรรมเนียมของวงการ ปัญหาคือออราเคิลยอมรับว่าเป็นช่องโหว่จริงเพียงจุดเดียวเท่านั้น ส่วนอีกจุดหนึ่งออราเคิลระบุว่าเป็น "พฤติกรรมที่อนุญาตอยู่แล้ว" (allowed behavior) ไม่ถือเป็นช่องโหว่ด้านความปลอดภัยแต่อย่างใด

ทางทีมของ Gowdiak ยืนยันว่าเป็นช่องโหว่อย่างแน่นอน และถ้าออราเคิลยังยืนยันแบบเดิมอยู่ เขาก็จะเปิดเผยข้อมูลของช่องโหว่ต่อสาธารณะต่อไป

เดิมที Java มักถูกวิจารณ์ในแง่ของแนวทางในการพัฒนาซอฟต์แวร์ที่มีความซับซ้อน และซอฟต์แวร์ที่ได้ใช้ทรัพยากรระบบมาก แต่ก็ยังเป็นแพลตฟอร์มได้รับความนิยมเนื่องเพราะ จำนวน ความหลากหลาย และขีดความสามารถของไลบรารี จำนวนผู้ใช้งาน ความปลอดภัย ค่าใช้จ่าย (ฟรี) ฯลฯ แต่หลังจากที่ Oracle ได้ซื้อ Java ไปจาก Sun ข่าวไม่ดีต่าง ๆ ได้ออกมาจำนวนมาก ไม่ว่าจะเป็นเรื่องความปลอดภัย (เฟซบุ๊ก, ทวิตเตอร์, แอปเปิล, ไมโครซอฟท์) การฟ้องร้อง และ

ไมโครซอฟท์ออกแถลงยืนยันว่าบริษัทเป็นเหยื่อของการแฮ็กผ่านช่องโหว่เดียวกับเฟซบุ๊กและแอปเปิล โดยคอมพิวเตอร์จำนวนหนึ่งรวมถึงคอมพิวเตอร์ในส่วนธุรกิจแมคติดมัลแวร์ที่อาศัยช่องโหว่ของ Java sandbox เช่นเดียวกับรายอื่นๆ

ไมโครซอฟท์กำลังตรวจสอบความเสียหาย แต่ระหว่างนี้ยังไม่มีหลักฐานใดๆ แสดงว่ามีข้อมูลลูกค้าหลุดออกไปกับมัลแวร์นี้

ที่มา - TechNet

ไมโครซอฟท์, EMC, และ NetApp แถลงในฐานะผู้เชี่ยวชาญที่ไม่มีส่วนได้ส่วนเสียกับคดี (amici curiae) ในคดีลิขสิทธิ์ API จาวาระหว่างออราเคิลกับกูเกิล แสดงการสนับสนุนให้ศาลอุทธรณ์กลับคำพิพากษาศาลชั้นต้น

ตัวเอกสารยื่นเข้าสู่ศาลแล้วแต่ยังไม่ได้เปิดเผยออกมาสู่สาธารณะ (คาดว่าทางศาลจะเปิดเผยออกมาเร็วๆ นี้) แต่ The Register ได้สำเนาออกมาระบุว่าเนื้อหาวิจารณ์คำพิพากษาศาลชั้นต้นว่าเป็นผลของการตีความกฎหมายลิขสิทธิ์ผิดพลาดอย่างมีนัยสำคัญหลายจุด และหากศาลอุทธรณ์ยังยืนยันคำตัดสินเช่นเดิม จะมีผลอันตรายต่อความคาดหวังที่รับรู้โดยทั่วไปในอุตสาหกรรมซอฟต์แวร์

Java 6 จะหมดระยะสนับสนุนสิ้นเดือนกุมภาพันธ์นี้ (ประกาศของออราเคิล) แต่ยังมีหน่วยงานอีกมากที่ยังอยู่กับ Java 6 และยังไม่ยอมอัพเกรดไปยัง Java 7

หนึ่งในองค์กรที่ยังใช้ Java 6 คือกูเกิล ซึ่งก็เริ่มขยับตัวบ้างแล้ว เมื่อสัปดาห์ก่อนกูเกิลออก App Engine 1.7.5 ที่ของใหม่คือการรองรับ Java 7 เป็นฟีเจอร์ทดสอบ (experimental) แล้ว

ฟีเจอร์อย่างอื่นได้แก่ รองรับ Google Cloud Endpoints สำหรับสร้างจุดเชื่อมต่อระหว่างแอพมือถือกับเอนจินที่สร้างบนกลุ่มเมฆ, รองรับเครื่องเสมือนแบบ High-Memory Instances และการแจ้งเตือน Mail Bounce Notifications

ต่อจากข่าว แอปเปิลโดนแฮ็กจากช่องโหว่ Java ล่าสุดแอปเปิลออกอัพเดต Java สำหรับผู้ใช้ Mac OS X แล้ว

อัพเดตตัวนี้ใช้เลขรุ่นว่า Java for OS X 2013-001 โดยเทียบเท่ากับ Java SE 6 (1.6.0_41) ของออราเคิล

นอกจากแก้ปัญหาความปลอดภัยแล้ว อัพเดตตัวนี้ยังสั่งปิดการทำงานของปลั๊กอิน Java SE 6 (ซึ่งตกรุ่นแล้ว) ภายในเว็บเบราว์เซอร์ คนที่ต้องการใช้งาน Java บนเบราว์เซอร์จำเป็นต้องดาวน์โหลด Java SE 7 จากออราเคิลมาติดตั้งเอง

ที่มา - Apple Support, 9to5mac

ไม่กี่วันก่อนมีข่าวออกมาว่าเฟซบุ๊กโดนแฮ็กผ่านทางแล็ปท็อปของพนักงาน

วันนี้แอปเปิลก็ได้ออกมาประกาศว่าโดนแฮ็กจากแฮ็กเกอร์กลุ่มเดียวกันเช่นกัน โดยคอมพิวเตอร์แมคจำนวนหนึ่งของพนักงานได้ถูกแฮ็กผ่านทางช่องโหว่ความปลอดภัยของจาวาในลักษณะเดียวกันกับที่พนักงานของเฟซบุ๊กโดน กล่าวคือผ่านทางการเข้าชมเว็บไซต์สำหรับนักพัฒนาเว็บหนึ่งที่ถูกแฮ็กมาก่อน ทั้งนี้แอปเปิลยืนยันว่าไม่มีหลักฐานใดๆ บ่งชี้ว่ามีข้อมูลภายในหลุดออกมา

แอปเปิลยังเผยเพิ่มเติมว่าเตรียมออกอัพเดทสำหรับป้องกันผู้ใช้จากช่องโหว่ดังกล่าวเร็วๆ นี้และกำลังร่วมมือกับเจ้าหน้าที่ของทางการเพื่อตามหาต้นตอของการมัลแวร์นี้

ออราเคิลยื่นเอกสารอุทธรณ์ฉบับเต็มที่ประกาศไว้ตั้งแต่เดือนพฤศจิกายนที่ผ่านมา คัดค้านคำตัดสินของศาลชั้นต้นที่ระบุว่า API ไม่มีลิขสิทธิ์ ตรงกับแนวทางก่อนหน้านี้ที่การอุทธรณ์จะเน้นหนักไปที่ API เพราะสิทธิบัตรในส่วนของ JVM หลายตัวนั้นกำลังจะหมดอายุแล้ว

ส่วนที่เป็นข่าวที่สุด คงเป็นส่วนคำอุปมาอุปมัยระหว่าง API ของจาวากับนิยายเรื่องแฮร์รี พอตเตอร์ ว่า

ปัญหาความปลอดภัยที่เกิดจากช่องโหว่ของ Java กลายเป็นเรื่องซีเรียส เราเห็นข่าวการโจมตีด้วยช่องโหว่ของ Java เป็นวงกว้าง และขนาดบริษัทไอทีรายใหญ่ทั้ง Twitter และ Facebook ก็ยังไม่รอด ต่างก็โดนแฮ็กเพราะ Java ในเครื่องของพนักงาน

บทความนี้จึงเขียนขึ้นเพื่อสอนวิธีป้องกันตัวจากการโจมตีผ่านช่องโหว่ของ Java ที่อาจติดตั้งอยู่ในเครื่องของผู้อ่านอยู่แล้ว โดยเน้นผู้อ่านกลุ่ม end-user ที่อาจไม่ทราบข้อมูลเรื่อง Java มากนัก

Facebook ประกาศว่าตัวเองโดนแฮ็กเมื่อเดือนมกราคมที่ผ่านมา โดยเกิดจากพนักงานของ Facebook จำนวนหนึ่งเข้าชมเว็บไซต์สำหรับนักพัฒนาแห่งหนึ่งที่ถูกแฮ็กมาก่อน เว็บไซต์แห่งนี้ฝังมัลแวร์ลงบนคอมพิวเตอร์ของพนักงาน ซึ่งส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ของผู้ประสงค์ร้าย

อย่างไรก็ตามความเสียหายยังจำกัดแค่เครื่องคอมพิวเตอร์ของพนักงานเท่านั้น ไม่กระทบกับข้อมูลของผู้ใช้แต่อย่างใด

ทีมความปลอดภัยของ Facebook ค้นพบปัญหานี้จาก DNS log ภายในบริษัทที่ส่งข้อมูลไปยังโดเมนที่น่าสงสัย หลังจากการสอบสวนแล้วพบว่าเว็บไซต์ที่ฝังมัลแวร์ลงเครื่องของพนักงาน ใช้ช่องโหว่ที่ยังไม่ค้นพบของ Java ทำให้ลัดขั้นตอนความปลอดภัยของ Java ลงได้

ปีที่แล้วออราเคิลประกาศโอเพนซอร์ส JavaFX แต่กระบวนการผ่านไปหลายเดือนก็ยังไม่สมบูรณ์ แต่ระหว่างที่กระบวนการโอเพนซอร์สเดินหน้าไป ทางออราเคิลก็ออกมาประกาศว่าโครงการอีกส่วนหนึ่งที่จะเปิดออกมาคือ JavaFX สำหรับ Android และ iOS

เป็นเรื่องปกติของการโอเพนซอร์สโครงการขนาดใหญ่ที่จะใช้เวลาหลายเดือนจนถึงเวลานับปี เช่น โครงการ Solaris ของซันในยุคก่อนจะโอเพนซอร์สก็ต้องใช้เวลานานเพราะติดโค้ดบางส่วนที่ซื้อจากบริษัทภายนอกมาอีกที

ไลเซนส์ที่ปล่อยมาสำหรับ OpenJFX คือ GPLv2 + Classpath Exception ทำให้สามารถลิงก์ JavaFX ทั้งแบบ static และแบบ dynamic เข้ากับแอพพลิเคชั่นได้โดยไม่ต้องเปิดซอร์สแอพพลิเคชั่นของตัวเองเอง

จากข่าว ออราเคิลออกแพตช์ความปลอดภัย Java รอบเดือนกุมภาพันธ์ 2013 ทางออราเคิลออกมาชี้แจงว่า การอัพเดตแพตช์รอบก่อนรีบออกเพื่อแก้ปัญหาความปลอดภัยเร่งด่วน ทำให้ยังปิดช่องโหว่อื่นๆ ไม่ครบ และจะออกแพตช์รอบใหม่ในวันที่ 19 กุมภาพันธ์นี้

ออราเคิลยังไม่แจ้งว่าช่องโหว่ที่จะแก้ไขในรอบ 19 กุมภาพันธ์มีอะไรบ้าง แต่ก็บอกว่าผู้ใช้หรือหน่วยงานที่ไม่ได้อัพเดตรอบก่อน สามารถรออัพเดตรอบ 19 กุมภาพันธ์ได้ทีเดียวเลยครับ

ที่มา - Oracle

หลังจากประสบปัญหาเรื่องความปลอดภัยอย่างต่อเนื่อง ออราเคิลก็ตัดสินใจออกแพตช์ความปลอดภัยของ Java SE ประจำเดือนกุมภาพันธ์ให้เร็วกว่าเดิม จากเดิมที่มีกำหนดออกวันที่ 19 กุมภาพันธ์ ก็เปลี่ยนมาออกตั้งแต่วันที่ 1 กุมภาพันธ์แทน

แพตช์ชุดนี้มีชื่ออย่างเป็ฯทางการว่า Critical Patch Update for Java SE – February 2013 ใช้กับ Java 5u38, 6u38, 7u11 ขึ้นไป รวมถึง JavaFX 2.2.4 ด้วย โดยตัวเลขเวอร์ชันของอัพเดตนี้จะกลายเป็น 6u39, 7u13 และ JavaFX 2.2.5 ครับ

เมื่อคืนวันศุกร์ที่ผ่านมานี้ ทวิตเตอร์ออกมาประกาศว่าพวกเขาโดนแฮ็ค และผู้ใช้ทวิตเตอร์กว่า 250,000 คนอาจจะโดนขโมยข้อมูลส่วนตัว โดยข้อมูลที่โดนขโมยไปได้แก่ username, อีเมล, และรหัสผ่านที่โดนเข้ารหัสไว้แล้ว (encrypted passwords)

ทวิตเตอร์ยืนยันว่าการเข้าขโมยข้อมูลในครั้งนี้ถือว่าเป็นการแฮ็คที่ไม่ง่าย น่าจะเป็นฝีมือของกลุ่มที่เข้าใจการเจาะข้อมูลเป็นอย่างดี และเชื่อว่าการเข้าขโมยข้อมูลในครั้งนี้หลาย ๆ บริการ บริษัท และองค์กรอื่น ๆ น่าจะโดนโจมตีด้วยเช่นกัน

Apple บล็อคปลั๊กอิน Java เป็นรอบที่สองของเดือนมกราคมแล้ว (รอบแรก) อันเนื่องมาจากปัญหาความปลอดภัยของ Java ที่ถูกค้นพบอยู่เรื่อย ๆ และการแก้บั๊กที่ล่าช้าของ Oracle นั่นเอง

คราวก่อน Apple อัพเดตไฟล์ blacklist ที่ชื่อ Xprotect.plist (ปกติไฟล์นี้จะอัพเดตเองอัตโนมัติเมื่อเชื่อมต่ออินเทอร์เน็ต) เพื่อปิดการทำงานของปลั๊กอิน Java จนกว่า Oracle จะออก Java เวอร์ชันใหม่ แต่ถึงแม้จะออก Java เวอร์ชันใหม่มา กลับมีผู้ค้นพบช่องโหว่ที่รุนแรงขึ้นเรื่อย ๆ (ติดตามได้จากแท็ก Java) และการแก้ไขอันล่าช้าของ Oracle ทำให้ Apple สั่งปิดปลั๊กอิน Java บน OS X อีกครั้ง

เว็บไซต์ ZDNet ทดสอบการติดตั้ง Java บนวินโดวส์ด้วยวิธีการต่างๆ และพบว่าตอนนี้ Java มีเทคนิคแนบเนียนหลายอย่างในการแถมโปรแกรม Ask Toolbar กับ McAfee Security Scanner แม้ผู้ใช้จะไม่ต้องการ

ต่อจากข่าว ออราเคิลออกแพตช์อุดช่องโหว่ Java แล้ว ผู้เชี่ยวชาญความปลอดภัยยังไม่เชื่อถือ

ล่าสุดมีนักวิจัยด้านความปลอดภัยจากบริษัท Security Explorations ในโปแลนด์ ออกมาให้ข้อมูลว่าพบช่องโหว่ 2 จุดใน Java 7 Update 11 ตัวล่าสุดที่เพิ่งออก โดยช่องโหว่นี้สามารถลัดขั้นตอนของ sandbox และรันโค้ดประสงค์ร้ายบนคอมพิวเตอร์ได้

ทาง Security Explorations แจ้งข้อมูลช่องโหว่ไปยังออราเคิลแล้ว (ไม่ได้เปิดเผยต่อสาธารณะ) ซึ่งช่องโหว่นี้เป็นช่องโหว่ใหม่ ไม่เกี่ยวกับช่องโหว่ก่อนหน้านี้ที่ผู้เชี่ยวชาญระบุว่า Java 7u11 ปิดไม่หมดด้วย

US-CERT หน่วยงานด้านความปลอดภัยไซเบอร์ของรัฐบาลสหรัฐ (สังกัดกระทรวงความมั่นคงแห่งมาตุภูมิ) ยังออกมาเตือนให้ผู้ใช้งาน Java สั่งปิดการทำงานของ Java ในเว็บเบราว์เซอร์ต่อไป แม้ว่าออราเคิลได้ออกแพตช์ Java 7u11 มาแก้ไขแล้วก็ตาม

US-CERT ให้เหตุผลว่าช่องโหว่ Java ตามข่าวก่อนหน้านี้ถูกใช้งานอย่างแพร่หลาย และมีความเป็นไปได้สูงว่าจะพบช่องโหว่ใหม่ๆ ในอนาคต ดังนั้นเพื่อเป็นการป้องกันตัว ผู้ใช้ควรปิดการใช้งาน Java ผ่าน Java Control Panel หรือหน้าจอตั้งค่าของ Java เอง

ผู้เชี่ยวชาญความปลอดภัยระบุว่า Java 7u11 ไม่ได้แก้ปัญหาทั้งหมด และผู้ใช้ยังมีโอกาสโดนมัลแวร์ได้ ถ้าโดนหลอกให้กดรันโค้ดประสงค์ร้ายด้วยวิธี social engineering

จากปัญหาช่องโหว่ร้ายแรงของ Java 7 และมีมัลแวร์เจาะระบบแล้ว ในที่สุดออราเคิลก็ออกแพตช์หมายเลข CVE-2013-0422 มาแก้ปัญหานี้แล้ว

นอกจากแพตช์ตัวนี้จะปิดช่องโหว่เดิมแล้ว ยังปรับค่า Java Security Level จากเดิม Medium เป็น High ซึ่งมีผลให้ผู้ใช้ต้องกดรัน Java Applet ด้วยตัวเองก่อนเสมอ เพิ่มความปลอดภัยไปอีกขั้นหนึ่ง ผู้ใช้ทุกคนสามารถอัพเดตได้ผ่าน Java Update ของระบบครับ