Множественные критические уязвимости в Sun Java JDK / JRE

[A_Gura]

Спасибо за информацию. Но было бы неплохо для каждой из ошибок привести ссылки, по которым можно получить более подробную информацию.

[srez]

Вот здесь вся инфа есть http://secunia.com/advisories/31010/

Там внизу такие вот ссылки лежат, там поподробнее -
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238628-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238666-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238687-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238905-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238965-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238966-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238967-1
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238968-1

[DaFive]

Интересно знать где именно, или примерчик какой-нибудь более менее безобидный.

[PeBu3op]

В смысле устроить DOS/DDOS атакку? =)

[DaFive]

не-не-не, вы не так поняли. Как она проявляется, при каких условиях. Это ж как-то обнаружили, хать бы пример воспроизведения самого безобидного.

[mytribune]

Про Sun примера под рукой нет, но то, что такое бывает в очень хитрых условиях - это скорее всего.
Недавно прочитал, как AdobeFlash ломали (

[mytribune]

http://www.matasano.com/log/1032/this-ne… - оригинал,

[mytribune]

[alximik]

Это к слову о полезности открытого кода. Сколько сразу обнаружилось... Можно ссылку на первоисточник?

[alximik]

Спасибо. Ошибку понял.

[Rustam]

а не связано ли это с относительно недавно найденной уязвимостью DNS?

[tegger]

А какая тут может быть связь?

[alximik]

Нет никакой связи. Скорее обнаржуение ошибок связано с появление OpenJDK.

[Halt]

Да... вот так джава. А еще говорили что безопасность :) Если даже в виртуальной машине умудряются делать переполнение. OpenJDK — вещь, что лишний раз подтверждает эффективность открытых платформ, чего к сожалению многие компании не понимают.

[srez]

Преимущества Close Source, что о них никто не знает хотябы =)

[Halt]

В том числе и сама компания ;) До тех пор пока очередной крэкер ее не найдет. Если честно, не могу понять, как компании (да и люди в них работающие) могут гарантировать безопасность данных и надежность их хранения, при использовании закрытого софта (и речь даже не о винде, хотя и о ней тоже). Притом что данные эти могут стоить десятки миллионов долларов. Этож какую надо веру иметь рядовому виндовому админу в то что оно не грохнется в один прекрасный момент? =)

Я сам сижу на *nix системах уже более 10 лет, с никсами практически с момента основания. Не спорю, проблемы конечно есть и тут, но... [перефразируя известный анекдот] по мне лучше "ведро гвоздей" сразу и на год спокоен, чем по гвоздю каждую неделю. И самое главное: знаешь чего ожидать, для меня это главное. А в случае винды я не знаю чего ожидать. И мне честное слово страшно. В первую очередь от того что ты ну никак не можешь на это дело повлиять. Ставить обновления — занятие малоутишительное на самом деле...

[srez]

Это все понятно, просто пока не публиковали и бед не знали. А сейчас любая непатченная система в опасности по идее.
С другой стороны для реальных проектов, для большинства из них, ни апплеты ни веб старт некритичны, ибо это редко используется. В основном ява крутится только на серверах. Проблемы с XML вообще несколько не к санам, ибо все пользуются библиотеками ксеркс или аналоги, как правило и стандартные либы и JVM какое отношение XML имеют, я коль честно не знаю.

Так что могут быть реально опасны только пункты 6 и 7, про пункт 6 коль честно просто не знаю, что это за фигня. А вот пункт 7 единтсвенный кто реально звучит угрожающе, хотя зависит от характера уязвимости.

[tegger]

Код Sun JVM и runtime-библиотек был открыт уже очень давно, и изучать его мог кто угодно. Просто мало кому в то время это было нужно.

[Discret]

И почему большинство критических уязвимостей регистрируют через несколько дней после обновления, в котором их исправили?

[y_m]

Чтобы не провоцировать множественных троллей ими воспользоваться.