เดิมที Java มักถูกวิจารณ์ในแง่ของแนวทางในการพัฒนาซอฟต์แวร์ที่มีความซับซ้อน และซอฟต์แวร์ที่ได้ใช้ทรัพยากรระบบมาก แต่ก็ยังเป็นแพลตฟอร์มได้รับความนิยมเนื่องเพราะ จำนวน ความหลากหลาย และขีดความสามารถของไลบรารี จำนวนผู้ใช้งาน ความปลอดภัย ค่าใช้จ่าย (ฟรี) ฯลฯ แต่หลังจากที่ Oracle ได้ซื้อ Java ไปจาก Sun ข่าวไม่ดีต่าง ๆ ได้ออกมาจำนวนมาก ไม่ว่าจะเป็นเรื่องความปลอดภัย (เฟซบุ๊ก, ทวิตเตอร์, แอปเปิล, ไมโครซอฟท์) การฟ้องร้อง และ

ไมโครซอฟท์ออกแถลงยืนยันว่าบริษัทเป็นเหยื่อของการแฮ็กผ่านช่องโหว่เดียวกับเฟซบุ๊กและแอปเปิล โดยคอมพิวเตอร์จำนวนหนึ่งรวมถึงคอมพิวเตอร์ในส่วนธุรกิจแมคติดมัลแวร์ที่อาศัยช่องโหว่ของ Java sandbox เช่นเดียวกับรายอื่นๆ

ไมโครซอฟท์กำลังตรวจสอบความเสียหาย แต่ระหว่างนี้ยังไม่มีหลักฐานใดๆ แสดงว่ามีข้อมูลลูกค้าหลุดออกไปกับมัลแวร์นี้

ที่มา - TechNet

ไมโครซอฟท์, EMC, และ NetApp แถลงในฐานะผู้เชี่ยวชาญที่ไม่มีส่วนได้ส่วนเสียกับคดี (amici curiae) ในคดีลิขสิทธิ์ API จาวาระหว่างออราเคิลกับกูเกิล แสดงการสนับสนุนให้ศาลอุทธรณ์กลับคำพิพากษาศาลชั้นต้น

ตัวเอกสารยื่นเข้าสู่ศาลแล้วแต่ยังไม่ได้เปิดเผยออกมาสู่สาธารณะ (คาดว่าทางศาลจะเปิดเผยออกมาเร็วๆ นี้) แต่ The Register ได้สำเนาออกมาระบุว่าเนื้อหาวิจารณ์คำพิพากษาศาลชั้นต้นว่าเป็นผลของการตีความกฎหมายลิขสิทธิ์ผิดพลาดอย่างมีนัยสำคัญหลายจุด และหากศาลอุทธรณ์ยังยืนยันคำตัดสินเช่นเดิม จะมีผลอันตรายต่อความคาดหวังที่รับรู้โดยทั่วไปในอุตสาหกรรมซอฟต์แวร์

Java 6 จะหมดระยะสนับสนุนสิ้นเดือนกุมภาพันธ์นี้ (ประกาศของออราเคิล) แต่ยังมีหน่วยงานอีกมากที่ยังอยู่กับ Java 6 และยังไม่ยอมอัพเกรดไปยัง Java 7

หนึ่งในองค์กรที่ยังใช้ Java 6 คือกูเกิล ซึ่งก็เริ่มขยับตัวบ้างแล้ว เมื่อสัปดาห์ก่อนกูเกิลออก App Engine 1.7.5 ที่ของใหม่คือการรองรับ Java 7 เป็นฟีเจอร์ทดสอบ (experimental) แล้ว

ฟีเจอร์อย่างอื่นได้แก่ รองรับ Google Cloud Endpoints สำหรับสร้างจุดเชื่อมต่อระหว่างแอพมือถือกับเอนจินที่สร้างบนกลุ่มเมฆ, รองรับเครื่องเสมือนแบบ High-Memory Instances และการแจ้งเตือน Mail Bounce Notifications

ต่อจากข่าว แอปเปิลโดนแฮ็กจากช่องโหว่ Java ล่าสุดแอปเปิลออกอัพเดต Java สำหรับผู้ใช้ Mac OS X แล้ว

อัพเดตตัวนี้ใช้เลขรุ่นว่า Java for OS X 2013-001 โดยเทียบเท่ากับ Java SE 6 (1.6.0_41) ของออราเคิล

นอกจากแก้ปัญหาความปลอดภัยแล้ว อัพเดตตัวนี้ยังสั่งปิดการทำงานของปลั๊กอิน Java SE 6 (ซึ่งตกรุ่นแล้ว) ภายในเว็บเบราว์เซอร์ คนที่ต้องการใช้งาน Java บนเบราว์เซอร์จำเป็นต้องดาวน์โหลด Java SE 7 จากออราเคิลมาติดตั้งเอง

ที่มา - Apple Support, 9to5mac

ไม่กี่วันก่อนมีข่าวออกมาว่าเฟซบุ๊กโดนแฮ็กผ่านทางแล็ปท็อปของพนักงาน

วันนี้แอปเปิลก็ได้ออกมาประกาศว่าโดนแฮ็กจากแฮ็กเกอร์กลุ่มเดียวกันเช่นกัน โดยคอมพิวเตอร์แมคจำนวนหนึ่งของพนักงานได้ถูกแฮ็กผ่านทางช่องโหว่ความปลอดภัยของจาวาในลักษณะเดียวกันกับที่พนักงานของเฟซบุ๊กโดน กล่าวคือผ่านทางการเข้าชมเว็บไซต์สำหรับนักพัฒนาเว็บหนึ่งที่ถูกแฮ็กมาก่อน ทั้งนี้แอปเปิลยืนยันว่าไม่มีหลักฐานใดๆ บ่งชี้ว่ามีข้อมูลภายในหลุดออกมา

แอปเปิลยังเผยเพิ่มเติมว่าเตรียมออกอัพเดทสำหรับป้องกันผู้ใช้จากช่องโหว่ดังกล่าวเร็วๆ นี้และกำลังร่วมมือกับเจ้าหน้าที่ของทางการเพื่อตามหาต้นตอของการมัลแวร์นี้

ออราเคิลยื่นเอกสารอุทธรณ์ฉบับเต็มที่ประกาศไว้ตั้งแต่เดือนพฤศจิกายนที่ผ่านมา คัดค้านคำตัดสินของศาลชั้นต้นที่ระบุว่า API ไม่มีลิขสิทธิ์ ตรงกับแนวทางก่อนหน้านี้ที่การอุทธรณ์จะเน้นหนักไปที่ API เพราะสิทธิบัตรในส่วนของ JVM หลายตัวนั้นกำลังจะหมดอายุแล้ว

ส่วนที่เป็นข่าวที่สุด คงเป็นส่วนคำอุปมาอุปมัยระหว่าง API ของจาวากับนิยายเรื่องแฮร์รี พอตเตอร์ ว่า

ปัญหาความปลอดภัยที่เกิดจากช่องโหว่ของ Java กลายเป็นเรื่องซีเรียส เราเห็นข่าวการโจมตีด้วยช่องโหว่ของ Java เป็นวงกว้าง และขนาดบริษัทไอทีรายใหญ่ทั้ง Twitter และ Facebook ก็ยังไม่รอด ต่างก็โดนแฮ็กเพราะ Java ในเครื่องของพนักงาน

บทความนี้จึงเขียนขึ้นเพื่อสอนวิธีป้องกันตัวจากการโจมตีผ่านช่องโหว่ของ Java ที่อาจติดตั้งอยู่ในเครื่องของผู้อ่านอยู่แล้ว โดยเน้นผู้อ่านกลุ่ม end-user ที่อาจไม่ทราบข้อมูลเรื่อง Java มากนัก

Facebook ประกาศว่าตัวเองโดนแฮ็กเมื่อเดือนมกราคมที่ผ่านมา โดยเกิดจากพนักงานของ Facebook จำนวนหนึ่งเข้าชมเว็บไซต์สำหรับนักพัฒนาแห่งหนึ่งที่ถูกแฮ็กมาก่อน เว็บไซต์แห่งนี้ฝังมัลแวร์ลงบนคอมพิวเตอร์ของพนักงาน ซึ่งส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ของผู้ประสงค์ร้าย

อย่างไรก็ตามความเสียหายยังจำกัดแค่เครื่องคอมพิวเตอร์ของพนักงานเท่านั้น ไม่กระทบกับข้อมูลของผู้ใช้แต่อย่างใด

ทีมความปลอดภัยของ Facebook ค้นพบปัญหานี้จาก DNS log ภายในบริษัทที่ส่งข้อมูลไปยังโดเมนที่น่าสงสัย หลังจากการสอบสวนแล้วพบว่าเว็บไซต์ที่ฝังมัลแวร์ลงเครื่องของพนักงาน ใช้ช่องโหว่ที่ยังไม่ค้นพบของ Java ทำให้ลัดขั้นตอนความปลอดภัยของ Java ลงได้

ปีที่แล้วออราเคิลประกาศโอเพนซอร์ส JavaFX แต่กระบวนการผ่านไปหลายเดือนก็ยังไม่สมบูรณ์ แต่ระหว่างที่กระบวนการโอเพนซอร์สเดินหน้าไป ทางออราเคิลก็ออกมาประกาศว่าโครงการอีกส่วนหนึ่งที่จะเปิดออกมาคือ JavaFX สำหรับ Android และ iOS

เป็นเรื่องปกติของการโอเพนซอร์สโครงการขนาดใหญ่ที่จะใช้เวลาหลายเดือนจนถึงเวลานับปี เช่น โครงการ Solaris ของซันในยุคก่อนจะโอเพนซอร์สก็ต้องใช้เวลานานเพราะติดโค้ดบางส่วนที่ซื้อจากบริษัทภายนอกมาอีกที

ไลเซนส์ที่ปล่อยมาสำหรับ OpenJFX คือ GPLv2 + Classpath Exception ทำให้สามารถลิงก์ JavaFX ทั้งแบบ static และแบบ dynamic เข้ากับแอพพลิเคชั่นได้โดยไม่ต้องเปิดซอร์สแอพพลิเคชั่นของตัวเองเอง

จากข่าว ออราเคิลออกแพตช์ความปลอดภัย Java รอบเดือนกุมภาพันธ์ 2013 ทางออราเคิลออกมาชี้แจงว่า การอัพเดตแพตช์รอบก่อนรีบออกเพื่อแก้ปัญหาความปลอดภัยเร่งด่วน ทำให้ยังปิดช่องโหว่อื่นๆ ไม่ครบ และจะออกแพตช์รอบใหม่ในวันที่ 19 กุมภาพันธ์นี้

ออราเคิลยังไม่แจ้งว่าช่องโหว่ที่จะแก้ไขในรอบ 19 กุมภาพันธ์มีอะไรบ้าง แต่ก็บอกว่าผู้ใช้หรือหน่วยงานที่ไม่ได้อัพเดตรอบก่อน สามารถรออัพเดตรอบ 19 กุมภาพันธ์ได้ทีเดียวเลยครับ

ที่มา - Oracle

หลังจากประสบปัญหาเรื่องความปลอดภัยอย่างต่อเนื่อง ออราเคิลก็ตัดสินใจออกแพตช์ความปลอดภัยของ Java SE ประจำเดือนกุมภาพันธ์ให้เร็วกว่าเดิม จากเดิมที่มีกำหนดออกวันที่ 19 กุมภาพันธ์ ก็เปลี่ยนมาออกตั้งแต่วันที่ 1 กุมภาพันธ์แทน

แพตช์ชุดนี้มีชื่ออย่างเป็ฯทางการว่า Critical Patch Update for Java SE – February 2013 ใช้กับ Java 5u38, 6u38, 7u11 ขึ้นไป รวมถึง JavaFX 2.2.4 ด้วย โดยตัวเลขเวอร์ชันของอัพเดตนี้จะกลายเป็น 6u39, 7u13 และ JavaFX 2.2.5 ครับ

เมื่อคืนวันศุกร์ที่ผ่านมานี้ ทวิตเตอร์ออกมาประกาศว่าพวกเขาโดนแฮ็ค และผู้ใช้ทวิตเตอร์กว่า 250,000 คนอาจจะโดนขโมยข้อมูลส่วนตัว โดยข้อมูลที่โดนขโมยไปได้แก่ username, อีเมล, และรหัสผ่านที่โดนเข้ารหัสไว้แล้ว (encrypted passwords)

ทวิตเตอร์ยืนยันว่าการเข้าขโมยข้อมูลในครั้งนี้ถือว่าเป็นการแฮ็คที่ไม่ง่าย น่าจะเป็นฝีมือของกลุ่มที่เข้าใจการเจาะข้อมูลเป็นอย่างดี และเชื่อว่าการเข้าขโมยข้อมูลในครั้งนี้หลาย ๆ บริการ บริษัท และองค์กรอื่น ๆ น่าจะโดนโจมตีด้วยเช่นกัน

Apple บล็อคปลั๊กอิน Java เป็นรอบที่สองของเดือนมกราคมแล้ว (รอบแรก) อันเนื่องมาจากปัญหาความปลอดภัยของ Java ที่ถูกค้นพบอยู่เรื่อย ๆ และการแก้บั๊กที่ล่าช้าของ Oracle นั่นเอง

คราวก่อน Apple อัพเดตไฟล์ blacklist ที่ชื่อ Xprotect.plist (ปกติไฟล์นี้จะอัพเดตเองอัตโนมัติเมื่อเชื่อมต่ออินเทอร์เน็ต) เพื่อปิดการทำงานของปลั๊กอิน Java จนกว่า Oracle จะออก Java เวอร์ชันใหม่ แต่ถึงแม้จะออก Java เวอร์ชันใหม่มา กลับมีผู้ค้นพบช่องโหว่ที่รุนแรงขึ้นเรื่อย ๆ (ติดตามได้จากแท็ก Java) และการแก้ไขอันล่าช้าของ Oracle ทำให้ Apple สั่งปิดปลั๊กอิน Java บน OS X อีกครั้ง

เว็บไซต์ ZDNet ทดสอบการติดตั้ง Java บนวินโดวส์ด้วยวิธีการต่างๆ และพบว่าตอนนี้ Java มีเทคนิคแนบเนียนหลายอย่างในการแถมโปรแกรม Ask Toolbar กับ McAfee Security Scanner แม้ผู้ใช้จะไม่ต้องการ

ต่อจากข่าว ออราเคิลออกแพตช์อุดช่องโหว่ Java แล้ว ผู้เชี่ยวชาญความปลอดภัยยังไม่เชื่อถือ

ล่าสุดมีนักวิจัยด้านความปลอดภัยจากบริษัท Security Explorations ในโปแลนด์ ออกมาให้ข้อมูลว่าพบช่องโหว่ 2 จุดใน Java 7 Update 11 ตัวล่าสุดที่เพิ่งออก โดยช่องโหว่นี้สามารถลัดขั้นตอนของ sandbox และรันโค้ดประสงค์ร้ายบนคอมพิวเตอร์ได้

ทาง Security Explorations แจ้งข้อมูลช่องโหว่ไปยังออราเคิลแล้ว (ไม่ได้เปิดเผยต่อสาธารณะ) ซึ่งช่องโหว่นี้เป็นช่องโหว่ใหม่ ไม่เกี่ยวกับช่องโหว่ก่อนหน้านี้ที่ผู้เชี่ยวชาญระบุว่า Java 7u11 ปิดไม่หมดด้วย

US-CERT หน่วยงานด้านความปลอดภัยไซเบอร์ของรัฐบาลสหรัฐ (สังกัดกระทรวงความมั่นคงแห่งมาตุภูมิ) ยังออกมาเตือนให้ผู้ใช้งาน Java สั่งปิดการทำงานของ Java ในเว็บเบราว์เซอร์ต่อไป แม้ว่าออราเคิลได้ออกแพตช์ Java 7u11 มาแก้ไขแล้วก็ตาม

US-CERT ให้เหตุผลว่าช่องโหว่ Java ตามข่าวก่อนหน้านี้ถูกใช้งานอย่างแพร่หลาย และมีความเป็นไปได้สูงว่าจะพบช่องโหว่ใหม่ๆ ในอนาคต ดังนั้นเพื่อเป็นการป้องกันตัว ผู้ใช้ควรปิดการใช้งาน Java ผ่าน Java Control Panel หรือหน้าจอตั้งค่าของ Java เอง

ผู้เชี่ยวชาญความปลอดภัยระบุว่า Java 7u11 ไม่ได้แก้ปัญหาทั้งหมด และผู้ใช้ยังมีโอกาสโดนมัลแวร์ได้ ถ้าโดนหลอกให้กดรันโค้ดประสงค์ร้ายด้วยวิธี social engineering

จากปัญหาช่องโหว่ร้ายแรงของ Java 7 และมีมัลแวร์เจาะระบบแล้ว ในที่สุดออราเคิลก็ออกแพตช์หมายเลข CVE-2013-0422 มาแก้ปัญหานี้แล้ว

นอกจากแพตช์ตัวนี้จะปิดช่องโหว่เดิมแล้ว ยังปรับค่า Java Security Level จากเดิม Medium เป็น High ซึ่งมีผลให้ผู้ใช้ต้องกดรัน Java Applet ด้วยตัวเองก่อนเสมอ เพิ่มความปลอดภัยไปอีกขั้นหนึ่ง ผู้ใช้ทุกคนสามารถอัพเดตได้ผ่าน Java Update ของระบบครับ

จากข่าว พบช่องโหว่ร้ายแรงของ Java 7 และมีมัลแวร์เจาะระบบแล้ว ล่าสุดมีผู้สร้างเบราว์เซอร์ 2 รายสั่งปิดการทำงานของปลั๊กอิน Java เพื่อป้องกันผู้ใช้จากการโจมตีแล้ว

US-CERT หน่วยงานด้านความปลอดภัยของรัฐบาลสหรัฐ แจ้งเตือนช่องโหว่ระดับ critical ที่ค้นพบใหม่บน Java 7 Update 10 หรือรุ่นที่เก่ากว่า ช่องโหว่นี้ช่วยให้แฮ็กเกอร์เข้ามารันโค้ดประสงค์ร้ายบนเครื่องของผู้ใช้ได้

ปัญหานี้เกิดกับปลั๊กอิน JRE โดยเป็นช่องโหว่ของระบบ Security Manager ของ JRE เอง ตอนนี้ออราเคิลยังไม่ออกแพตช์แก้ไข วิธีป้องกันตัวมีเพียงปิดการใช้งาน Java บนเว็บเบราว์เซอร์ไปก่อนชั่วคราว

ผู้เชี่ยวชาญความปลอดภัย Kaspersky Labs ให้ข้อมูลเพิ่มเติมว่าตอนนี้เริ่มพบมัลแวร์ที่ใช้ช่องโหว่นี้ อยู่บนเว็บไซต์หลายแห่งแล้ว

บริษัทความปลอดภัย Trend Micro ออกมาเตือนมัลแวร์ BKDR_JAVAWAR.JG ซึ่งสร้างขึ้นมาเพื่อโจมตีเซิร์ฟเวอร์สาย Java (ทั้งกลุ่มที่เป็น Java Servlet อย่าง Tomcat และกลุ่มที่เป็น Java HTTP)

การทำงานของมัลแวร์ตัวนี้คือเจาะเข้าไปยัง Tomcat Web Application Manager โดยใช้วิธีเดารหัสผ่าน แล้วฝังไฟล์ web application archive (WAR) เพื่อเป็น backdoor ของระบบ จากนั้นไฟล์ JSP ของเซิร์ฟเวอร์นี้จะถูกฝัง backdoor ให้ผู้ประสงค์ร้ายเข้ามาควบคุมเครื่องได้

มัลแวร์ตัวนี้ทำงานบนเซิร์ฟเวอร์ Java สายวินโดวส์ ซึ่งก็นับตั้งแต่ Windows 2000 มาจนถึง Windows 7 ทางแก้คือผู้ดูแลระบบต้องตั้งรหัสผ่านที่เข้มแข็ง และหมั่นอัพเดตแพตช์อยู่เสมอครับ

เว็บไซต์ FOSS Patents อ่านเอกสารยื่นอุทธรณ์ของออราเคิลในคดี Java กับกูเกิล (ซึ่งยื่นเมื่อเดือนธันวาคม) พบว่าออราเคิลตัดสินใจไม่อุทธรณ์คดีส่วนสิทธิบัตร และอุทธรณ์เฉพาะคดีเรื่องลิขสิทธิ์ของ Java API เท่านั้น

FOSSPatents ประเมินว่าออราเคิลคงต้องการโฟกัสไปที่ประเด็นเรื่อง Java API เป็นหลัก, สิทธิบัตรบางชิ้นกำลังจะหมดอายุ และสิทธิบัตรบางชิ้นอาจเรียกค่าเสียหายได้ไม่มากนัก เลยตัดสินใจทิ้งประเด็นเรื่องสิทธิบัตรไป

กระบวนการของคดีนี้ยังต้องใช้เวลาอีกนาน ถ้ากำหนดการเป็นไปตามที่วางแผนกันไว้ กว่าที่ทั้งสองฝ่ายจะแถลงตอบโต้กันครบ (ฝ่ายละ 2 รอบ) ก็ช่วงกลางเดือนกรกฎาคม 2013 ครับ

จาวาสริปต์เป็นภาษาสคริปต์ของ Netscape ที่พัฒนาขึ้นเพื่อใช้บนเว็บกับ Netscape 2.0 มาตั้งแต่ปี 1995 โดยยืมชื่อ "จาวา" มาจากซันโดยไม่มีความเกี่ยวเนื่องอะไรกัน แต่ความนิยมของจาวาสคริปต์ที่สูงขึ้นเรื่อยๆ จนกระทั่งเริ่มบุกตลาดเซิร์ฟเวอร์ด้วย node.js ตอนนี้ทางออราเคิลก็เปิดโครงการ Nashorn เป็นส่วนหนึ่งของ OpenJDK เพื่อนำจาวาสคริปต์มารันบน JVM แล้ว

โครงการนี้กำลังถูกพัฒนาเป็นการภายในออราเคิลเอง และกำลังเตรียมการโยกย้ายออกมาสู่สาธารณะภายใต้โครงการ OpenJDK จากข้อเสนอของออราเคิล

สมาชิกของ OpenJDK สามารถโหวตเพื่อรับหรือไม่รับโครงการนี้ได้ภายในวันที่ 6 ธันวาคมที่จะถึงนี้

Mozilla ออกประกาศว่าจะบล็อคการทำงานของปลั๊กอิน Java 7 update 7 ลงไป ด้วยเหตุผลว่า Java 7u7 มีช่องโหว่ด้านความปลอดภัยร้ายแรง

ผู้ใช้ยังสามารถสั่งเปิดการทำงานของ Java 7u7 บน Firefox ได้เองในหน้าตั้งค่าปลั๊กอิน แต่ตอนนี้ Oracle ออกอัพเดต Java 7 update 9 ที่แก้ปัญหานี้มาแล้ว ทางออกที่ถูกต้องคืออัพเดตปลั๊กอินเป็นเวอร์ชันล่าสุด

ช่วงหลังๆ มานี้ Java มีปัญหาเรื่องความปลอดภัยเยอะ และเว็บไซต์ที่จำเป็นต้องใช้งาน Java ก็ลดจำนวนลงเรื่อยๆ ดังนั้นใครที่ไม่จำเป็นต้องใช้ Java บนเว็บจริงๆ ก็ควรปิดการทำงานโดยถาวรไปเลย

ที่มา - Mozilla

แม้ ARMv8 หรือ AArch64 ที่เป็น ARM สถาปัตยกรรม 64 บิตจะยังไม่วางตลาดเลยก็ตาม แต่ฝั่งซอฟต์แวร์ก็เริ่มเตรียมความพร้อมกันแล้ว สิ่งหนึ่งที่ขาดไม่ได้บนเซิร์ฟเวอร์คงเป็นจาวาที่แอพพลิเคชั่นระดับองค์กรจำนวนมากใช้งานกันอยู่ ปัญหาของจาวาบน ARM ทุกวันนี้ (รุ่น 32 บิต) คือมันมี JIT compiler รุ่นเล็กและง่ายสำหรับ OpenJDK ที่โอเพนซอร์สและใช้งานได้ฟรี กับรุ่นเฉพาะจากออราเคิลที่ทำงานได้มีประสิทธิภาพดีกว่า และตอนนี้ทาง RedHat เริ่มเข้ามาพัฒนา JIT compiler บน ARMv8 โดยเฉพาะ โดยหวังให้มันมีประสิทธิภาพที่ดีและโอเพนซอร์สไปพร้อมกัน