Une société de sécurité polonaise affirme avoir alerté Oracle début avril sur plusieurs brèches sérieuses affectant Java. Si quelques-unes ont été comblées en juin, celles actuellement exploitées pour infecter une machine ou en prendre le contrôle ne sont toujours pas supprimées.

Oracle était manifestement au courant depuis plusieurs mois de l'existence d'une vulnérabilité de l'interpréteur Java. Le site PC World indique en effet qu'une société de sécurité polonaise, Security Explorations, a mis en garde l'entreprise américaine dès le 2 avril, en signalant pas moins de 19 failles. Certaines de ces brèches sont aujourd'hui exploitées par des pirates pour infecter des ordinateurs.

La publication des correctifs de sécurité chez Oracle se produit tous les quatre mois. La dernière vague de mises à jour est survenue en juin dernier mais seules 3 vulnérabilités repérées par Security Explorations ont été corrigées. Plus embêtant, aucune des failles actuellement utilisées pour prendre le contrôle à distance d'une machine infectée n'a été comblée.

Cela fait donc désormais quatre mois qu'Oracle est au courant de la situation. La société va-t-elle publier en urgence un nouveau patch ? Cela ne semble pas être le cas, malgré l'envoi par la firme de sécurité polonaise d'un proof of concept présentant une méthode différente permettant d'exploiter efficacement les brèches. Il va donc falloir patienter jusqu'à la prochaine vague de correctifs, qui est programmée pour la mi-octobre.

Le manque apparent de diligence d'Oracle pour résoudre ce problème va très certainement aboutir à une vive polémique, Java étant présent sur de très nombreux ordinateurs dans le monde. En attendant une réaction d'Oracle, qui s'est pour l'instant illustré par un regrettable mutisme, il est toujours possible de désactiver Java voire de le désinstaller complètement.


Abonnez-vous à Numerama sur Google News pour ne manquer aucune info !