禁用 IE 中的 Java 插件会保护您免受 Java 攻击吗?

信息安全 网页浏览器 爪哇 插件 IE浏览器
2021-09-05 19:32:19

关于最近的 Java 漏洞(我应该禁用 Java 吗?),最常见的建议似乎是禁用浏览器中的 Java 插件。

但是,Heise Security 建议,对于 Internet Explorer,这可能还不够

我们在 heise Security 的同事进行的测试发现,微软的旗舰浏览器即使在被明确禁用后仍然能够访问 Java 插件。因此,建议运行 IE 的用户使用 Windows 控制面板中的“添加或删除程序”选项完全卸载 Java。

是否真的存在一个已知的弱点,即 Java 漏洞利用可以伤害访问恶意网站的 IE 用户,即使 Java 加载项被禁用?

2个回答

我的德语很生疏,但我很确定Heise Security 的文章并没有真正说明 H-online 文章所声称的内容。

Unter Opera erreicht man die Plugin-Verwaltung durch die Eingabe von opera:plugins in die Adressleiste。Beim Internet Explorer genügt das Deaktiveren der Plug-ins unter "Add-Ons verwalten" nicht。Wer den IE einsetzt, sollte Java daher besser vollständig über Systemsteuerung/Software deinstallieren。

大致翻译为

可以通过opera:plugins在地址栏中输入来访问 Opera 的插件管理器。对于 Internet Explorer,仅使用“管理加载项”来停用 Java 插件是不够的。任何使用 IE 的人都应该通过控制面板/程序完全卸载 Java。

IE 不允许您从浏览器中完全禁用 Java 插件。相反,您必须使用注册表项来正确禁用它。Heise 的文章暗示了这一点——简单地关闭插件实际上并不能完全禁用 IE 中的嵌入式 Java 功能。我相信 Heise 文章作者不知道这个注册表技巧,并且 H 在线文章作者只是将建议“作为令状”接受,而没有正确检查事实。

所以不,您不需要完全卸载它。尽管考虑到最近 0 天的长篇大论,如果您可以在没有它的情况下生存,我肯定会将它放在您要卸载的东西列表的顶部。

禁用附加组件是不够的。

CERT在其漏洞说明之一中写道:

禁用适用于 Internet Explorer 的 Java 插件和 Java 部署工具包

禁用 Internet Explorer 的 Java 插件比使用其他浏览器要复杂得多。网页有多种方法可以调用 Java 小程序,也有多种方法可以配置 Java 插件支持。Microsoft 已发布知识库文章 2751647,其中描述了如何禁用 Internet Explorer 的 Java 插件。但是,我们发现,由于可以在 Internet Explorer 中调用 Java 的方式多种多样,它们的指南(以及我们之前的指南)并未完全禁用 Java。但是,我们提供了一个注册表文件,该文件禁用 Java 7 Update 6 之前的 Java 版本提供的所有 CLSID,并通过设置URLACTION_JAVA_PERMISSIONS阻止通过 IE 中的元素调用 java“Internet 区域”的标志。如果您希望禁用其他区域中的元素,您可以修改注册表文件以满足您的需要。有关详细信息,请参阅 Microsoft知识库文章 182569 。在我们的测试中,导入此注册表文件似乎可以防止在 Internet Explorer 中调用 Java 小程序。

因此,在 IE 中可靠地禁用 Java 似乎只能通过禁用加载项添加一堆 kill-bit 注册表项来实现,正如@Polynomial提供的链接中所建议的那样。但是,似乎不同的 Java 版本具有不同的 kill-bit GUID,这基本上意味着此方法仅将当前已知版本的 Java 插件列入黑名单,如果您只想禁用 Java,直到某个漏洞被修复,这可能没问题. 但它不会永久禁用 Java。

但是,从 Java 7u10 开始,Java 控制面板中有一项功能可以永久禁用所有浏览器中的 JavaOracle 本身将此描述为在 IE 中禁用 Java的唯一方法

IE浏览器

在 Internet Explorer (IE) 中完全禁用 Java 的唯一方法是通过如上所述的 Java 控制面板禁用 Java。