В JavaWS нашли бэкдор

[@greengarlic]

походу у них там работает злой программист

[@sidristij]

ну по логам svn будет ясно, кто :) Хотя… никто не мешает подсмотреть пароль и закоммитить от лица ненавистного участника команды :)

[@keep]

Ага :) У некоторых настроено, что с серверов общего пользования чекинишь от %имякомпании%. Не удивлюсь если в annotate будет «822065 oracle» :))

[@d0z]

На самом деле Sun империя зла, которая хотела захватить мир, но не успела — ее купил Oracle. )
Наверняка делали workaround для какой-то фичи, потом фичу пофиксили, а workaround остался )

[@mechmind]

workaround'ом мог быть запуск приложения в среде, напичканной средствами дебага? Или это все там и так есть?

[@d0z]

Разработчикам я думаю виднее, я просто выдвинул предположения об некой очевидности сознательного бэкдора.

[@Nico_izo]

Не троньте Sun — это святое.

[@stoune]

R.I.P.

[@ukko]

Ну вот, Гослинг ушёл, теперь можно на Гослинга всё сваливать :)

[@glebreutov]

Да, это все он: напортачил и свалил! =)

[@r00t]

Уязвимость найдена Java Web Start, а JavaWS что-то тут мне кажется притянута за уши.

[@ukko]

javaws --help
Java(TM) Web Start 1.6.0_15
…

[@r00t]

Спасибо, теперь понял в чем дело!
Меня ввело в заблуждение WS и я все не мог понять причем тут Web Services :)

[@Roy]

Workaround очевиден — закрывать на firewall'е NBT\CIFS наружу. Если еще не закрыт.

[@asfd]

Снова жёлтые заголовки. -_-

[@FTM]

не надо паники. java слишком популярна, а, значит, уязвимость скоро закроют.

[@Roy]

Закрыть-то закроют, вот только java обновления ищет раз в месяц…
Пара ботнетов на этом развернуться успеет.

[@aib]

Насколько я помню, именно в java 1.6 появилась возможность запустить любую версию jvm с помощью комманды -version:___
Видимо это была первая версия с непосредственным указанием dll'ины.

[@MaximKat]

«Никогда не приписывайте злонамеренности тому, что вполне может быть объяснено глупостью»

[@egorinsk]

А у меня нет явы.

[@Zorkus]

Особенно я.

[@egorinsk]

А уязвимости бесплатно прилагаются, или их надо будет отдельно скачивать?

[@Zorkus]

И что, есть реальный пример случая взлома через это?

[@Kroligoff]

Вот пример, используя данную уязвимость запускается калькулятор windows
lock.cmpxchg8b.com/bb5eafbc6c6e67e11c4afc88b4e1dd22/testcase.html

Попробовал на 1.6.0_15-b03, работает :(

[@w0den]

Сегодня было выпущено обновление: 1.6.0_20