Zero-day zranitelnost v Javě

DeepEnd Research informuje o kritické zero-day zranitelnosti v Javě. Následně tuto zranitelnost analyzuje. Další analýza na blogu FireEye. Zranitelnosti bylo přiřazeno CVE-2012-4681. Zranitelnost je zneužitelná také v Linuxu (Metasploit blog).

28.8.2012 16:22 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[retroslava]

0-day?

[egg]

Zero-day attack

[Ladislav Hagara]

Stejný odkaz je ve zprávičce, dokonce v češtině.
Jde o zranitelnost, na kterou lze stáhnout exploit, ale nelze stáhnout bezpečnostní záplatu.
Jak problém řešit? Mozilla například doporučuje Javu zakázat.

[jos]

copak by asi doporučila Věra Pohlová

[bfu]

http://chapadla.cz/tricka-panska/Vera-Guevara.html

[jos]

hehe, škoda že je tam ta bublina

[retroslava]

No já narážel na to že zero-day jsem ještě neviděl. 0-day jo. Asi se pohybuju na jiný úrovni, no.

[druhy]

To si jeste urcite neslysel o zranitelnosti nuloveho dne, vid? :)

[petr_p]

Mně by spíš zajímalo, jestli ta chyba je v Javě, tedy specifikaci jazyka, nebo pouze v implementaci JRE a nebo pouze implementaci od Sunu/Oraclu. V posledním případě by totiž většina linuxových distribucí byla v klidu, v prostředním případě by oprava byla otázkou několika hodin/dnů.

[Michal Vyskočil]

a nebo pouze implementaci od Sunu/Oraclu. V posledním případě by totiž většina linuxových distribucí byla v klidu

Jak to?

[Václav "Darm" Novák]

Protože většina distribucí má SUN javu jaco deprecated a používá OSS implementaci.

[otula]

Do chvíle, kdy si kolega stěžuje, že se nemůže přihlásit do Komerční banky Potom nezbývá, než kolegu poslat do teplých míst, nebo nainstalovat Javu od Oracle

[Václav "Darm" Novák]

mně s tím jde KB v pohodě…

[otula]

Tož to je zvláštní. Je to asi 2 týdny dozadu, kdy jsem musel přehodit fyzicky 2 počítače, na jeden z nichž jsem pak instaloval Arch Linux. A pak přišel kolega s tím, že se nemůže přihlásit do KB. Snažil jsem se to vyřešit, obvolával jejich technickou podporu, která nebyla schopna poradit. Potom jsem zkusil vyměnit Javu, a najednou to fungovalo bez problému. A když jsem to zprovoznil, zazvonil mi telefon, na druhém konci kluk z jejich podpory, který mi už chtěl říct, co mám špatně, ale řekl jsem mu, že jsem vyměnil Javu a funguje to. Jeho odpověď: "Přesně tak..."

[stativ]

To bude bug #843. S OpenJDK 6 to už je zřejmě dávno opravené, s JDK 7 bug stále přetrvává. Zatím jsem to taky řešil výměnou javy, protože pravěkou verzi používat nebudu

[otula]

Díky za info :)

[Buddhacz]

přesně tak, KB je zcela závislá na Oracle Javě, musím ji občas aktualizovat na dálku v Ubuntu laptopu

[Michal Vyskočil]

Protože většina distribucí má SUN javu jaco deprecated a používá OSS implementaci.

A kdopak že je hlavním vývojářem OSS implementace? Hint: whois java.net mnohé napoví.

[asdf]

Ak má OpenJDK a Sun JDK rovnakého hlavného výrobcu, znamená to, že OpenJDK a Sun/Oracle JDK je to isté? Alebo aká bola myšlienka tvojho príspevku?

[Michal Vyskočil]

Ak má OpenJDK a Sun JDK rovnakého hlavného výrobcu, znamená to, že OpenJDK a Sun/Oracle JDK je to isté?

V zásadě ano.

Alebo aká bola myšlienka tvojho príspevku?

Pointa byla, aby petr_p prozradil, jak může být většina distribucí v klidu.

[jos]

já ti moc nevěřim, kdyby tě to fakt zajímalo, tak by sis přečetl to CVE

[pavlix]

+1

Headshot.

[kavol]

a já věřím, že si ho přečetl, a pouze kritizuje text zprávičky, který se zabývá tím, kdo všechno o tom píše, ale jádro problému stručně nesdělí ...

[jos]

v tom případě mohl napsat "hele chlapi, není java jako java, tak ste mohli rovnou napsat o kterou implementaci de"

[jehovista]

A hned by se na nej sesypala kupa rejpalu s tim, ze si ma ty zpravicky psat sam a kolik uz jich poslal.

[jos]

no podle kavola kritizuje a ty mi teda tvrdíš že je to ok, protože to nedělá tak okatě?

[Ladislav Hagara]

Does CVE-2012-4681 (Java 7 remote code execution, Critical) affect Red Hat products?

Red Hat has tested the flaw and confirmed that it affects Java SE 7 provided by OpenJDK 7 (java-1.7.0-openjdk), Oracle Java SE 7 (java-1.7.0-oracle) and IBM Java SE 7 (java-1.7.0-ibm) as shipped with Red Hat Enterprise Linux 6. This flaw does not affect any prior versions of Java, including those shipped with Red Hat Enterprise Linux 4 and 5. No official patches are available yet. We will ship updates to resolve this flaw as soon as patches are available for the affected versions of Java.

[Lol Phirae]

We will ship updates to resolve this flaw as soon as patches are available for the affected versions of Java.

Jo, do října času dost. Když už to vydrželo 4 měsíce, tak kam spěchat, že. Oracle entrprajs soljůšns.

[nyan]

Fascinujici, jak puvodni navrh jazyka prisel s myslenkou "write once, run anywhere", s VM aby to bylo portabilni, se specifikaci jazyka aby mohli VM byt kompatibilni... a v realnem svete jsou java aplikace "portabilni" do te miry ze kazda potrebuje konkretni implementaci, nebot s jinou nefunguje... epic fail is epic.

[Lol Phirae]

To bylo úplně jinak: "Write once, debug everywhere"

[Franta]

V sebelepším prostředí/platformě můžeš napsat tak zprasenou aplikaci, že poběží jen někde a někdy Java dává nejlepší podmínky k psaní přenositelných aplikací -- že jich někteří vývojáři nevyužívají a dělají to blbě, je už věc jiná.

[Lol Phirae]

Java dává nejlepší podmínky k psaní přenositelných aplikací

[kralyk z abclinuxu]

Java dává nejlepší podmínky k psaní přenositelných aplikací

To je hodně kontroverzní tvrzení

Java spíš než dobré podmínky pro psaní přenositelných aplikací poskytuje podmínky pro psaní aplikací pro jednu jedinou platformu, která se ale dá rozchodit coby subsystém skoro všade. Což je značný rozdíl - Javovské aplikace totiž sice skutečně beží ledaskde (pokud jsou rozumně napsány), ale pouze v rámci JRE (+knihovny,...). Integrace a spolupráce Javovských aplikací se zbytkem hostujícího systému a ostatními aplikacemi je notoricky mizerná.

Takhle si já osobně skutečnou přenositelnost nepředstavuju.

[egg]

Takhle si já osobně skutečnou přenositelnost nepředstavuju.

A jak?

[kralyk z abclinuxu]

No že aplikace je aspoň nějak integrovaná do systému, tzn. vzhled, open/save dialogy, různé cesty v rámci systému a uživatelského účtu, případně další věci jako otevírání souborů a url v asociovaných aplikacích atd...

[Jiří Svoboda]

Jo a jako typický příklad bych uvedl separátor v cestách k souborům.

Když to "blb" programuje pod Windows, nacpe tam obrácené lomítko a pod Linuxem to nejede.

Když to "blb" programuje pod Linuxem, nacpe tam normální lomítko a nejede to pod Windows.

Když se to naprogramuje správně, tedy dá se tam File.separator, tak to funguje všude...

[kralyk z abclinuxu]

Tady je zajímavé, že ve skutečnosti systémová volání Windows & Windows API podporují / coby oddělovač komponent cesty již od dob DOSu, takže čistě vnitřně je možné / používat.

Nicméně různé nástroje a knihovny vyšší úrovně neumí s / pracovat nebo mu přiřazují jiný význam (např. windowsí command line ho bere jako switch, a tudíž cestu systému nepředá správně), takže stejně člověk musí většinou použít \ z důvodu konvence - minimálně při interakci se zbytkem user-space.

[sonicpp]

flame: blb je už proto, že v Javě vůbec něco dělá

[jehovista]

A co pouzivaji neblbove?

[egg]

Třeba python?

[jehovista]

Ten zas pouzivaji buzny

[Martin Mareš]

A co pouzivaji neblbove?

OS, který nemá zvrácené představy o lomítkách?

(/me hides...)

[kralyk z abclinuxu]

A co pouzivaji neblbove?

Chef, BeFunge nebo Shakespeare

[Michal Vyskočil]

Icedtea 2.3.1 obsahuje patch pro tuto zranitelnost. Čili Linuxové distribuce budou brzy v klidu

[Andrej]

Opravene v 6u35 aj v 7u7.

[Ruža Becelin]

Dlouho jim to nevydrzelo :-P

[Lol Phirae]

Dlouho jim to nevydrzelo :-P

Huh? "This issue is addressed in Java 7 Update 7.".

[stativ]

Spíš by se hodil tento odkaz.

[Andrej]

chrome://plugins/ java disable