image

45% Nederlandse pc-gebruikers gebruikt onveilige Java 6

donderdag 19 september 2013, 17:42 door Redactie, 7 reacties
Laatst bijgewerkt: 23-09-2013, 10:51

Bijna de helft van de Nederlandse Windowsgebruikers heeft het niet meer ondersteunde Java 6 geïnstalleerd, waardoor ze verhoogd risico lopen om met malware besmet te raken. Java, niet te verwarren met Javascript dat browsers standaard ondersteunen, is ontwikkeld door Sun Microsystems.

Het bedrijf werd overgenomen door Oracle, dat tegenwoordig Java onderhoudt. Via Java is het mogelijk om Java-applets te draaien, wat in principe gewoon programma's zijn. Java 6 voor Windowsgebruikers wordt al enige maanden niet meer door Oracle ondersteund, wat inhoudt dat ontdekte beveiligingslekken geen patch krijgen. Gebruikers van Java 6 krijgen dan ook het advies om naar Java 7 te upgraden.

Gebruikersgroep

Een advies dat niet alle Java 6-gebruikers opvolgen en een groot probleem aan het worden is. Sinds Oracle de ondersteuning stopte zijn er namelijk twee beveiligingslekken in Java 6 ontdekt die actief worden gebruikt om internetgebruikers aan te vallen. Afhankelijk van de gebruikte browser volstaat het bezoeken van een kwaadaardige of gehackte website en is er geen verdere interactie vereist om met malware besmet te raken.

Het is onduidelijk hoe groot de groep Windowsgebruikers is die nog steeds Java 6 geïnstalleerd heeft. Lange tijd werd een percentage van 21% van alle Java-gebruikers genoemd. Hosting bedrijf Jelastic liet vorige week weten dat het om 12% ging, maar volgens anti-virusbedrijf Trend Micro zou het om meer dan de helft van de Java-gebruikers gaan die de onveilige versie gebruikt.

Nederland

Het Deense beveiligingsbedrijf Secunia publiceerde vandaag cijfers die het via de Personal Software Inspector (PSI) in het tweede kwartaal van dit jaar bij Nederlandse Windowsgebruikers verzamelde. De tool scant alle geïnstalleerde software op versienummer en installeert updates als die beschikbaar zijn. Bij 45% van de gebruikers werd Java 6 aangetroffen.

Na Microsoft XML Core Services (MSXML) 4 is Java 6 het meest blootgestelde programma dat gebruikers geïnstalleerd hebben. Uit de cijfers van Secunia komt verder naar voren dat er nog veel gebruikers met niet meer ondersteunde versies van Google Chrome en Firefox werken, wat enigszins opmerkelijk is, aangezien deze browsers over een automatische update-functie beschikken.

Bij het onderzoek naar de cijfers van het eerste kwartaal liet Secunia nog weten dat de werkelijke cijfers van ongepatchte applicaties waarschijnlijk hoger liggen, aangezien PSI-gebruikers veiliger zijn dan andere Windowsgebruikers die niet met de risico's van ongepatchte software bekend zijn.

Image

Reacties (7)
19-09-2013, 17:59 door Spiff has left the building
N.B.
Off-topic bij de berichtgeving over Java 6,
maar vanwege het geplaatste programma-overzicht en het vermelden van Microsoft XML Core Services (MSXML), plaats ik hier een kopie van wat ik zonet bij een verwant artikel (https://www.security.nl/posting/364028/) al had geplaatst:

http://secunia.com/?action=fetch&filename=PSI-Country-Report-(NL)-(2013Q2).pdf
http://secunia.com/?action=fetch&filename=PSI-Country-Report-(US)-(2013Q2).pdf
Bovenaan het lijstje met de "Top 10 Most Exposed Programs" staat nog steeds Microsoft XML Core Services (MSXML).

Net zoals dat ook in juni al het geval was, zie:
https://www.security.nl/posting/41348/Top+10+van+minst+gepatchte+programma%27s+in+Nederland

De oorzaak daarvan?
MSXML 4.0 SP2 wordt sinds april 2010 niet meer ondersteund
en MSXML 4.0 SP3 wordt niet aangeboden via Windows Update,
waardoor de kwetsbaarheden in MSXML 4.0 SP2 niet automatisch gepatcht worden.
En dat gaat niet veranderen.

Beschrijving van dat MSXML 4.0 update probleem
en tevens een beschrijving hoe MSXML 4.0 te patchen,
zie: https://www.security.nl/posting/41791/MS+ignores+XML+update+issue
19-09-2013, 18:09 door Briolet - Bijgewerkt: 19-09-2013, 18:09
Uit de cijfers van Secunia komt verder naar voren dat er nog veel gebruikers met niet meer ondersteunde versies van Google Chrome en Firefox werken, wat enigszins opmerkelijk is, aangezien deze browsers over een automatische update-functie beschikken.
Kan dat niet komen doordat er geen nieuwere browser versies voor de oudere systemen beschikbaar waren? Ik weet wel dat ik vorig jaar op mijn oude mac met OSX Leopard, plots geen Firefox en Chrome meer kon updaten. Beide kwamen, met een paar maand verschil, met de melding dat het OS niet meer ondersteund werd. Dat was voor mij de druppel om op die PC het OS te updaten.
19-09-2013, 18:13 door Anoniem
Had ik dat na een kleine 13.000 woorden nou verkeerd gelezen?
"Maar goed, genoeg daarover nu :-)"

Zonder dollen, misschien kan je (spiff) Secunia overhalen daar iets van te vinden en door hen dat aanhangig te laten maken bij Ms?
Succes
;-)
19-09-2013, 19:00 door Anoniem
Wat moet 46% van de pc's in Nederland in godsnaam met java? Waar komt die troep vandaan dan?
19-09-2013, 23:11 door Anoniem
In die top 10 staan er zo al 4, die vaak als bloatware bij laptops werden geleverd.
De geinfecteerde laptop die ik van de week ontrevetonde, had die skype5 een java6, adobe air3 en een reader9 en 1 van die flash versies. Allemaal met dezelfde installatie datum als het os. Sommige waren nooit gebruikt, maar ook niet gedeinstalleerd, ze zaten bij de laptop. En waarvoor ze dienden, dat wist bijna niemand.
't zou me dan ook niks verwonderen, als die hoge rating in de top 10, vooral door bloatware is.
En de rare eigenschap van java6, om zich niet altijd even goed te laten deinstalleren.
Heb toch menige broken uninstaller gezien.
Dat je zelf de folder en de registry sleutels moest weg gooien, om java6 effectief van je systeem te krijgen.
20-09-2013, 00:01 door Spiff has left the building
Door Anoniem, 18:13 uur:
Had ik dat na een kleine 13.000 woorden nou verkeerd gelezen?
"Maar goed, genoeg daarover nu :-)"
Dat laatste betrof het Microsoft contact systeem via Microsoft Community.
(zie https://www.security.nl/posting/41791#posting359109)
Maar ik kan me prima voorstellen dat je die hele "MS ignores XML update issue" thread betreffend MSXML 4.0 ook wel genoeg vond ;-)

Door Anoniem, 18:13 uur:
Zonder dollen, misschien kan je (spiff) Secunia overhalen daar iets van te vinden en door hen dat aanhangig te laten maken bij Ms?
Uiteraard heb ik dat aangekaart en geprobeerd, maar Secunia kent Microsoft's standpunt in die zaak, en vond dat ze onvoldoende argumenten in handen had om te proberen Microsoft te overtuigen van de noodzaak om wat te doen betreffend die MSXML 4.0.
(zie https://www.security.nl/posting/41791#posting358513)

Ik beschouw het als een gelopen weg.
Maar wanneer Secunia die ongepatchte MSXML 4.0 blijft aanhalen in de Country Reports, en Security.NL ernaar blijft verwijzen in nieuwsberichten, dan voel ik me geroepen nog weer eens te verwijzen naar die "MS ignores XML update issue" thread.
20-09-2013, 10:19 door Anoniem
Cybercrime experts weten al geruime tijd dat JAVA opzettelijk 'slecht onderhouden' wordt. Het fungeert als een der voornaamste toegangspoorten voor NSA en anderen tot de PCs van burgers in 'moeilijke gebieden'.

Dat verklaart ook deze reactie:

Turning to matters of online security and government surveillance programs Ellison endorses the NSA's surveillance programs as "great" and "essential."

"By the way, President Obama thinks it's essential [too]," he said, "It's essential if ... we want to minimize the kind of strikes that we just had in Boston. It's absolutely essential."

http://www.cbsnews.com/8301-505263_162-57598257/oracle-ceo-larry-ellison-google-ceo-did-evil-things-apple-is-going-down/
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.