Oracle udsender ny nødpatch til Java i browseren

... Så kan man rende rundt og afinstallere ask toolbar crap en halv formiddag igen igen.. Oracle - get your shit together!

Just Another Vulnerability Announcement :-)

En analyse beskrevet i Infoworld 16. jan http://www.infoworld.com/t/java-programming/why-fixing-the-java-flaw-wil... siger kort sagt at kompleksiteten i JVM'en er blevet så stor at der er mange mulige angrebsvektorer. Desuden er lukketheden fra Oracles side, en faktor der forhindrer hjælp fra OpenJDK udviklerne.

Jeg mener at Oracle burde lave en forsimplet version af JVM'en til brug for browser plugin. Det er features som invokedynamic og reflection som giver muligheder for misbrug.

Sårbarheden omfatter alle versioner af Java SE og er indtil videre set udnyttet i Java v1.6 update 41 og Java v1.7 update 15. Den omfatter ikke Java på servere, almindelige desktopapplikationer eller indlejrede Java-applikationer.

Der er noget galt her. Java er opdelt i ME (mobile), SE (desktop/browser) og EE (server). Hvordan kan fejlen omfatte alle versioner af Java SE, samtidig med at den ikke omfatter Java på almindelige desktopapplikationer eller indlejrede Java-applikationer?

Så kan man rende rundt og afinstallere ask toolbar crap en halv formiddag igen igen

How can I prevent Ask.com Toolbar from being installed every time Java is updated?

Der er noget galt her. Java er opdelt i ME (mobile), SE (desktop/browser) og EE (server). Hvordan kan fejlen omfatte alle versioner af Java SE, samtidig med at den ikke omfatter Java på almindelige desktopapplikationer eller indlejrede Java-applikationer?

Gæt: fordi det igen-igen er browser-plugin'et fra SE der er synderen?

Der er noget galt her. Java er opdelt i ME (mobile), SE (desktop/browser) og EE (server). Hvordan kan fejlen omfatte alle versioner af Java SE, samtidig med at den ikke omfatter Java på almindelige desktopapplikationer eller indlejrede Java-applikationer?

Som jeg forstår det så består angrebene i at tilsidesætte de restriktioner i JVM'ens "Security manager" som forhindrer usignerede Applets i at tilgå filsystem og køre eksterne programmer. Jeg formoder at muligheden også er der i Java EE, da det er den samme JVM der bruges, men ikke har nogen sikkerhedsmæssig betydning, da man alligevel ikke baserer sikkerheden på sandboxen via Security manager.

Gæt: fordi det igen-igen er browser-plugin'et fra SE der er synderen?

Ja jeg kan se version2's tekst er mere eller mindre direkte oversat fra Oracle: "These vulnerabilities are not applicable to Java running on servers, standalone Java desktop applications or embedded Java applications".

Jeg tolkede så bare "embedded" som værende appletter (der normalt er embedded på en web-side, sågar med et HTML embed tag).

Jeg tolkede så bare "embedded" som værende appletter

Med "embedded" menes Java-applikationer, der kører i f.eks. settop bokse og andre former for "indkapslede" enheder.

Jeg forstår ikke helt hvorfor vi Mac brugere også bliver pisket til at opgradere? På artiklen lyder det som en Windows-only sårbarhed, synes jeg...?

Anyway, heldigvis slipper vi da for den toolbar, den lyder ret irriterende... :-)