Di hari minggu yang tenang dan damai ini (halah), iseng2 pantau berita seputar infosec, saya menemukan website tentang timeline vulnerability java yang ditemukan setahun belakangan (sejak 2012) yang dibuat oleh Eric Romang. Java JRE (Java Runtime Environment), adalah salah satu software yang 90% mungkin terinstall di komputer semua orang. Bahkan kalau tidak salah di beberapa browser sudah di include default, seperti halnya Adobe Flash agar browser tersebut secara default sudah bisa support flash. Karena Java sudah diinclude secara default ini, maka sangat besar kemungkinannya mengancam komputer (hampir) semua orang di internet.

Metode serangan vulnerability Java ini pada umumnya memanfaatkan kelalaian user yang dipancing untuk mengunjungi “malware-ready” site dengan payload yang juga sudah disiapkan di situs tersebut. Java pada browser target yang vulnerable akan mengeksekusi payload yang sudah di set pada komputer attacker dan secara otomatis connect-back ke attacker. Pada komputer attacker telah dipasang listener untuk handling koneksi dari target dan pada akhirnya bisa menguasai komputer tersebut. Hmm.. sampai blog ini ditulis, masih saja ditemukan bug pada Java JRE 10 Update 15 yang baru hitungan hari di release. Java pada browser saya aja “masih” Java JRE 10 Update 13 hahahah..

Untuk counter measure kepada para paranoia security, sebaiknya sementara ini matikan dulu plugin Java pada browser dan plugin Java pada aplikasi lain yang terhubung ke internet. Dengan begitu, sekalipun user terpancing ke malware site, browser akan gagal memproses halaman malware tersebut. Karena Java yang akan memproses applet dari site tersebut sedang non-aktif pada browser kita.

Secara default, sebenarnya di beberapa browser akan ada warning manakala user menjalankan applet atau servlet dari situs tertentu yang sedang di load oleh browser. Contohnya, sudah pernah download video di youtube dari keepvid? Pada situs keepvid, ketika proses generate file untuk download video menggunakan java applet, seharusnya ada warning dari browser tentang applet tersebut apakah akan diizinkan running atau tidak. Agar proses download video dapat berlangsung, tentu saja user harus mengizinkan applet Keepvid ini running di browser. Nah bagaimana kalau applet Keepvid yang saya percayai ini sudah disisipi payload shell? *Paranoid 😀

Good luck and have a safe browsing. Berinternetlah dengan azas praduga everyone is berjahiliyah, dan berinternetlah dengan sehat hehe…