Como os usuários do Java podem confirmar se eles não são afetados pela vulnerabilidade SSL V3.0 POODLE (CVE-2014-3566)?


Começando com as releases de Atualização de Patch Crítico de 20 de janeiro de 2015 (JDK 8u31, JDK 7u75 JDK 6u91 e mais recentes), o Java Runtime Environment tem o SSLv3 desativado por padrão. Se você tiver verificado que está executando essas releases ou posteriores então nenhuma ação adicional deverá ser necessária.

Para releases anteriores, a Oracle fornece abaixo referências e instruções para desativar o SSLv3 para applets e Web Start, bem como instruções detalhadas para desenvolvedores e administradores de sistema na OTN sobre·como impedir que aplicações Java usem o SSL v3.0 no Java SE em todas as situações em que o Java é usado.

Segundo Plano

A vulnerabilidade POODLE (CVE-2014 -3566) expôs uma falha grave na v3 do protocolo SSL (Secure Socket Layer). O protocolo SSLv3 não é mais recomendado e seu uso foi desativado no Java Runtime Environment, conforme observado acima. Os usuários que absolutamente precisarem reativar a SSLv3 deverão consultar as Notas da Release apropriadas.

A maioria dos usuários, entretanto, só usa o Java no browser (Applets e Webstart). Abaixo estão instruções mais simples sobre como verificar se a SSL 3.0 está ativada (e como desativá-la).

Desativar SSLv3 e Webstart para Applets

As implementações de plug-in e WebStart do Oracle Java Webstart podem ser configuradas usando o Painel de Controle Java.

Sob a guia Avançado seção Definições de Segurança Avançada desmarque todos os protocolos/formato SSL, deixando somente TLS ativado conforme mostrado abaixo (Começando com a release de 20 de janeiro de 2015, SSLv3 não aparecerá mais como uma opção selecionável).

Observação: as alterações feitas por meio do Painel de Controle enquanto um browser está aberto só terão efeito após o browser ser reiniciado. As aplicações Java Webstart também devem ser reiniciadas para que as alterações surtam efeito.

Painel de Controle Java - Versões anteriores a 8u31, 7u75 e 6u91
Painel de Controle Java - cancelar a seleção da opção SSLv3

INFORMAÇÕES RELACIONADAS

Mais informações sobre a release de Atualização de Patch Crítico de janeiro de 2015 podem ser encontradas nas notas de release a apropriadas.