为什么 Java (JRE) 漏洞在 2012-2013 年达到顶峰?

信息安全 爪哇 cve
2021-08-24 05:44:49

我绘制了一张每年有关 JRE 的 CVE 报告数量的图表。CVE 报告

现在你可以看到这个数字在 2012-2013 年飙升,如果你看一下过去几年里关于 java 的新闻数量,这很容易猜到。但是,我无法找到解释原因:

  • Java变得更流行了吗?
  • Java 刚刚变得更受黑客欢迎吗?
  • 是因为被甲骨文收购吗?
3个回答

我认为这是一种“趋势效应”,也是时尚(在“服装”意义上)一切的驱动力。请允许当地的法国人谈论时尚。

时尚是一种自相矛盾的社会行为。追随时尚的人同时寻求:

  • 通过遵守公认的规范(例如随意选择布料形状、质地和颜色),在特定的当地群体中获得认可;
  • 通过显示粗体(隐含地:比其他组成员更粗体)来获得同一组内的可见性将体现该组的最新甚至未来的社会规范。

实际上,时尚受害者必须既是领导者又是追随者。如果上下文是电子学,我们会说我们观察到一个具有正反馈的电路,它必须在局部稳定配置之间表现出急剧的转变。一个额外的影响是,在服装时尚中,唯一普遍的影响是快速贬值:没有一种时尚可能会保持活跃超过几个月。简而言之,时尚是快节奏的,当它稍微向一个方向倾斜时,每个人都会朝那个方向冲去。这就解释了时尚来去匆匆的方式。

黑客是极客版的时尚受害者。他们的兴趣和努力总是被看似“热门话题”所驱动。日日夜夜在键盘上度过的人通常对社会排斥非常敏感(因为他们平均很少接触社会),因此他们厌恶专注于“过去”技术的想法,这会剥夺他们最后一丝同行认可他们所希望的。因此,当一个话题似乎预示着荣耀时,他们都会奔向它。“荣耀”在这里可以等同于“slashdottable”。

在安全和 Java 的具体案例中,触发因素很可能确实是甲骨文收购了 Sun。甲骨文是一个众所周知的“坏人”,因此在甲骨文产品中发现安全漏洞总是有一些名气(计算机人一直对虚无主义情有独钟)。此外,Java 的安全模型(applet 模型)看起来已经成熟,但存在潜在的漏洞:在 Java applet 模型中,“安全边界”是恶意世界(applet 代码本身)和受保护世界(主机系统)通过标准库 API:数百个系统类必须检查和执行复杂的权限系统。攻击面巨大. 必须时不时地有漏洞。Sun 的人很擅长他们所做的事情,但要让小程序模型安全,则需要神圣的开发能力。

几个bug一被发现并公之于众,“名利双收”的念头就如同草原上的火一样在黑客集体的脑海中闪过,纷纷涌上心头。这就是富矿的力量。一旦大脑因财富的承诺而燃烧(在这种情况下,Twitter 追随者或 Slashdot 得分),就无法阻止他们。

不过,它很快就会结束。“Java 错误太棒了 2013 年!”

优秀的信息图表!除非有人真正坐下来通读各种 CVE 并彻底理解它们,否则很难提供任何实质性的答案。话虽如此,我愿意在这里胡乱猜测。

  1. 浏览器蠕变——使用三种主流浏览器(IE、Firefox 和 Chrome),必须为更广泛的整体环境开发插件。不同的浏览器将有不同的挂钩返回到实际的浏览器环境,因此在与如此不同的环境集成时会出现各种疏忽(不要忘记智能手机!)

  2. Android -- Java 从未像今天这样被广泛使用,这在很大程度上要归功于 Android。随着越来越多的开发者对平台(不是Android平台,而是Java的核心平台)进行锤击,自然会发现更多的bug,而随着开发者世界对安全的意识越来越强,这些bug被报告和披露是很自然的.

  3. (锡箔帽警报!)阴谋——它可能是甲骨文试图杀死 Java(就像 Adob​​e 杀死了 Flash。)因为我的阴谋 sombrero 还不够大,无法构思或设计出如此奇妙的东西,所以我不知道这是什么原因,但我不排除这种可能性。

这就是我胡思乱想的程度。

干杯,

-C

jre 7 添加了很多新功能和很多错误。2014 年 1 月,对 jre 7 的更新使得运行小程序变得更加困难。