Negli ultimi mesi sono cresciuti a dismisura gli attacchi e gli exploit contro la virtual machine di Java. Ad annunciarlo è Microsoft con un post sul blog ufficiale del Microsoft Malware Protection Center.

In particolare gli attacchi contro Java hanno registrato un picco nel terzo trimestre del 2010 e sono avvenuti sfruttando tre diverse vulnerabilità.

La prima di esse, CVE-2008-5353, ha registrato oltre 3,5 milioni di tentativi di attacco su 1,2 milioni di computer. Questa falla è relativa un problema di deserializzazione delle versioni vulnerabili di JRE e consente l’esecuzione di codice remoto mediante i browser su cui è installato il componente Java e sulle piattaforme Windows, Linux e Mac OS X.

La seconda vulnerabilità, CVE-2009-3867, ha registrato 2,6 milioni di attacchi su 1,1 milioni di PC ed è invece relativa ad un problema di parsing di URL “file://” che può portare all’esecuzione di codice da remoto.

La terza, infine, CVE-2010-0094, è un problema di deserializzazione come la prima falla sfruttando il quale sono stati effettuati 213 mila attacchi su 173 mila computer.

Le tre vulnerabilità sono state corrette da un’apposita patch, ma ciò non è stato sufficiente per difendere gli utenti dagli attacchi. La maggior parte degli utenti infatti non sanno di avere Java Runtime Environment attivo sul computer, non sanno quale versione viene utilizzata e non sanno come aggiornare o come attivare o disattivare questo componente all’interno del browser.