Oracle narażało użytkowników na ataki, teraz musi przepraszać
Aktualizacje platformy Java SE oraz ich częstotliwość mają w branży niemal status żartu. Wiadomo jednak, że dla Oracle jest to dowcip mało śmieszny, a miny zrzedły pracownikom firmy zapewne jeszcze bardziej w związku z wydanym właśnie Federalnej Komisji Handlu w USA związanym z masowym, bo dotyczącym około 850 mln urządzeń, narażaniem użytkowników na ataki.
22.12.2015 | aktual.: 23.12.2015 10:18
W zasadzie już od momentu zakupu Sun przez Oracle ta ostatnia korporacja miała być świadoma problemu w procesie aktualizacji Java SE. Był on tym bardziej poważny, że niwelowane było znaczenie wszelkich aktualizacji bezpieczeństwa i łatek udostępnianych wraz z kolejnymi kompilacjami platformy.
Działo się tak, gdyż w w momencie instalowania kolejnej wersji Javy, usuwana była tylko bezpośrednia poprzedniczka. Wszelkie pozostałe wersje, dziurawe i podatne na ataki, pozostawały nietknięte na dysku twardym użytkownika. Błąd miał zostać naprawiony dopiero w kwietniu 2014 roku.
Zarzuty Federalnej Komisji Handlu były poważne, dotyczyły świadomego narażania na szwank praw i bezpieczeństwa użytkownika:
Oracle nie poinformowało, że aktualizacja Javy SE automatycznie usuwa tylko ostatnią wersję tego oprogramowania i nie usuwa wcześniejszych, które mogą być zainstalowane na komputerze. (…) W wyniku tego działania, klienci mogli wciąż posiadać dodatkowe, starsze i niezabezpieczone wersje oprogramowania, które były podatne na ataki hakerskie.
W ramach zawartej wczoraj pomiędzy Oracle i Federalną Komisją Handlu ugody, korporacja została zobowiązana do szeregu niezbyt chwalebnych czynności. Przede wszystkim przez dwa następne lata na stronie Oracle ma być dostępna autokrytyka, w której firma przyznaje się do zaniedbań oraz informuje o sposobach rozwiązania problemu poprzez skuteczne odinstalowanie wcześniejszych wersji Javy. Kary finansowe zostaną nałożone na firmę tylko, jeśli nie dopełni tych obowiązków.
Szczegółowe instrukcje, jak usunąć stare wersje Javy, są już dostępne na specjalnie uruchomionej w tym celu stronie internetowej. Oracle przygotowało także narzędzie Java Uninstall Tool, które w zautomatyzowanym procesie usunie wszelkie podatne na atak wersje Javy. Miejmy nadzieję, że w tym przypadku aktualizacje nie będą konieczne.
