Twee beveiligingslekken in Java waarvoor Oracle vorige week een noodpatch uitbracht, worden op zeer grote schaal ingezet, zo blijkt uit cijfers van Microsoft. De aanvallers hebben inmiddels de gebruikte exploits gecombineerd. Zo wordt het recente lek in Java 7 Update 10 en ouder aangevallen, maar bevat de aanvalscode ook een exploit voor CVE-2012-1723.

Het gaat hier om een beveiligingslek in Java 7 Update 4 en ouder, Java 6 Update 32 en ouder, Java 5 Update 35 en ouder en Java 1.4.2_37 en ouder. Oracle publiceerde in juni 2012 een beveiligingsupdate voor dit lek. Uit de praktijk blijkt dat veel Java-gebruikers vaak lange tijd met ongepatchte versies blijven werken.

Aanvallen
"De strategie van deze gecombineerde exploit is dat ze door één exploitcode te versturen, ze elk lek in Java 6 installaties tot en met Java 6 Update 32 en kwetsbare Java 7 installaties tot en met Update 10 in één keer weten aan te vallen", zegt Jeong Wook Oh van het Microsoft Malware Protection Center.

Sinds de exploit voor het lek in Java 7 Update 10 en eerder aan het grote publiek werd onthuld, was er een drastische toename van het aantal aanvallen zichtbaar die hier misbruik van maakten. Het aantal gedetecteerde aanvallen op dit lek heeft bijna het aantal aanvallen op andere grote Java-lekken (CVE-2012-4681 en CVE-2012-5076) ingehaald. Inmiddels zou Security Essentials de Java-exploits herkennen.