В JavaWS нашли бэкдор

[greengarlic]

походу у них там работает злой программист

[sidristij]

ну по логам svn будет ясно, кто :) Хотя… никто не мешает подсмотреть пароль и закоммитить от лица ненавистного участника команды :)

[keep]

Ага :) У некоторых настроено, что с серверов общего пользования чекинишь от %имякомпании%. Не удивлюсь если в annotate будет «822065 oracle» :))

[d0z]

На самом деле Sun империя зла, которая хотела захватить мир, но не успела — ее купил Oracle. )
Наверняка делали workaround для какой-то фичи, потом фичу пофиксили, а workaround остался )

[mechmind]

workaround'ом мог быть запуск приложения в среде, напичканной средствами дебага? Или это все там и так есть?

[d0z]

Разработчикам я думаю виднее, я просто выдвинул предположения об некой очевидности сознательного бэкдора.

[Nico_izo]

Не троньте Sun — это святое.

[stoune]

R.I.P.

[ukko]

Ну вот, Гослинг ушёл, теперь можно на Гослинга всё сваливать :)

[glebreutov]

Да, это все он: напортачил и свалил! =)

[r00t]

Уязвимость найдена Java Web Start, а JavaWS что-то тут мне кажется притянута за уши.

[ukko]

javaws --help
Java(TM) Web Start 1.6.0_15
…

[r00t]

Спасибо, теперь понял в чем дело!
Меня ввело в заблуждение WS и я все не мог понять причем тут Web Services :)

[Roy]

Workaround очевиден — закрывать на firewall'е NBT\CIFS наружу. Если еще не закрыт.

[asfd]

Снова жёлтые заголовки. -_-

[FTM]

не надо паники. java слишком популярна, а, значит, уязвимость скоро закроют.

[Roy]

Закрыть-то закроют, вот только java обновления ищет раз в месяц…
Пара ботнетов на этом развернуться успеет.

[aib]

Насколько я помню, именно в java 1.6 появилась возможность запустить любую версию jvm с помощью комманды -version:___
Видимо это была первая версия с непосредственным указанием dll'ины.

[MaximKat]

«Никогда не приписывайте злонамеренности тому, что вполне может быть объяснено глупостью»

[egorinsk]

А у меня нет явы.

[Zorkus]

Особенно я.

[egorinsk]

А уязвимости бесплатно прилагаются, или их надо будет отдельно скачивать?

[Zorkus]

И что, есть реальный пример случая взлома через это?

[Kroligoff]

Вот пример, используя данную уязвимость запускается калькулятор windows
lock.cmpxchg8b.com/bb5eafbc6c6e67e11c4afc88b4e1dd22/testcase.html

Попробовал на 1.6.0_15-b03, работает :(

[w0den]

Сегодня было выпущено обновление: 1.6.0_20