Další vážná zranitelnost v Javě

Den po vydání Javy SE verze 7u7, jež opravovala zero-day zranitelnost, tj. 31. srpna, bylo bezpečnostním expertem Adamem Gowdiakem, zakladatelem a výkonným ředitelem Security Explorations, oznámeno nalezení další zranitelnosti. Společnost Oracle byla informována. I po téměř měsíci je verze 7u7 pořád poslední stabilní verzí. Adam Gowdiak se svou společností pokračoval v zkoumání a objevil další vážnou zranitelnost. Tentokrát zneužitelnou v Javě SE verze 5, 6 a 7. Zranitelnost umožňuje vytvoření aplikací, jež dokážou obejít bezpečnostní sandbox a na úrovni operačního systému spustit libovolný kód s právy uživatele. Adam Gowdiak uvádí, že se jedná o jejich jubilejní 50. nalezený problém v Javě, a tento poslední je exkluzivně věnován konferenci JavaOne 2012 konané od 30. září v San Franciscu.

27.9.2012 03:24 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[MarMax]

Já už na tu Javu snad hodim taky bobek... :(

[Franta]

Zrovna tohle je díra v něčem, co jiné platformy neumí vůbec a jsou "děravé" z principu (tzn. normálně program běží s právy uživatele bez dalších omezení).

[R]

Pri desktopovej aplikacii tak nejako ocakavam, ze bude mat pristupove prava pouzivatela. Ale pri nejakom applete na webe nie.

[lubosach]

A nemal by toto skôr riešiť sandbox prehliadača?

[Franta]

jj, tohle by chtělo integrovat spíš AppArmor -- bylo by to obecné řešení pro libovolný plugin. Ale pak zase lidi budou nadávat, až bude chyba v AppArmoru, to si nevybereš

[David Jaša]

Ne. Pak budou lidi nadávat, že chcou politiku pro selinux.

[Jendа]

Jak bys bezpečně kreslil z apparmorovaného pluginu (nebo obecně libovolné aplikace) do Xek?

[Franta]

To by chtělo buď zvláštní protokol mezi pluginem a prohlížečem a do Xek by pak kreslil prohlížeč, ne přímo plugin, nebo použít stejný protokol X, ale pustit pro plugin zvláštní X oddělený server, vložený do prohlížeče.

[David Jaša]

Kompozitně. Předpokladem samozřejmě je, aby běžel v samostatném procesu apod.

[Jendа]

Kompozitně

To je nějaké Xkové rozšíření?

[tom]

1. Do Xek jde kreslit z pluginu pres XSHM, kdy staci namapovat pamet pred vlezenim do sandboxu.

2. Sandboxy se pouzivaj, treba flash bezi v chromu v sandboxu vytvorenem pomoci seccomp.

[tom]

Zrovna tohle je díra v něčem, co jiné platformy neumí vůbec a jsou "děravé" z principu (tzn. normálně program běží s právy uživatele bez dalších omezení).

A seccomp poskytovanej kernelem je podle vas co? A muzete to pouzivat nezavisle na jazyku.

[sidik]

Java: write once, security holes everywhere :D

[Michal Fecko]

Smutne je ze na vysokych skolach preferuju prave Javu...

[mirec]

No práve tu je bezpečnosť totálne irelevantná. Inak tiež nie som nejakým zástancom Javy na školách, myslím si, že produkuje množstvo mizerných programátorov.

[Franta]

Učí se Java jako jazyk -- chyby jsou k konkrétních běhových prostředích od konkrétních výrobců -- můžeš používat jiné, bezpečnější, ale jazyk je stále stejný. Tvoje poznámka je tedy irelevantní.

[Michal Fecko]

Nie celkom... Pretoze vyvyjas pre konkretne prostredia pre konkretnych vyrobcov, nie pre standardizovane normy!

[Franta]

-1

Vyvíjet se má podle standardů a běhová prostředí mají běžet taky podle standardů. Každý má pak zodpovědnost za tu svoji část. Vývojář nemůže za to, že sis vybral děravou implementaci běhového prostředí.

[Michal Fecko]

Kriste pane a ked nemam moznost si vybrat a napriek tomu musim v Jave vyvyjat???

[azurIt]

pekna teoria..

[deda.jabko]

A jaky jazyk by chtels na vysoke ucit?

Z tech nejrozsirenejsich:

• C -- dobre na low-level veci, ale lidi budou remcat, ze se s tim v praxi neuzivi (delat v C webovky nebo neco s DB muze jenom masochista)
• C++ -- sileny bastl, ktery na jednicku ovlada pan buh, na dvojku Miroslov Ponkrac, na trojku Bjarne Stroustrup, na ctyrku ti nejlepsi a na petku vsichni ostatni
• C# -- krasny vendor lock-in, plus posledni verze vypadaji, jak kdyby ten jazyk navrhoval pejsek s kocickou
• Objective C -- poradne je to pouzitelne jenom na jednom OS a na jednom zeleze
• PHP -- to si ani nezaslouzi komentar

Na vysoke se nejaky mainstreamovy programovaci jazyk musi ucit, protoze pak budou vsichni nadavat, ze vysoke jsou naprd, protoze nepripravuji lidi pro praxi.

Java ma tu vyhodu, ze existuje pro vic platforem, ma vybudovany ekosystem a jeji vyvoj nevede marketingove oddeleni jako v pripade C#. Navic znalosti jazyka jdou snadno prevest jinam (vyvoj pro Android) nebo v nejhorsim neni problem preucit se na C#.

[Radek Miček]

Na vysoke se nejaky mainstreamovy programovaci jazyk musi ucit

Co třeba Python?

[deda.jabko]

To je IMHO takove lepsi PHP, a ze by bylo moc poptavek po programatorech v Pythonu, to se rict neda...

[Bystroushaak]

To je IMHO takove lepsi PHP

Teď jsem se málem urazil.

ze by bylo moc poptavek po programatorech v Pythonu, to se rict neda...

Není jich tak málo, třeba můj bratr si takhle přivydělává už na gymplu.

[mirec]

Kto nezažil na vlastnej koži oboje, kto neriešil celý deň blbosť ako automatické pretypovanie, kto neladil aplikáciu celý deň kvôli blbo fungujúcemu ladeniu, kto sa pol dňa nesnažil aspoň zapnúť logovanie chýb v cudzej aplikácii (ktoré bolo inak vypnuté), kto omylom nepracoval s vypnutými varovaniami pretože niekto si myslel, že v php.ini je error_reporting zo srandy ... ten jednoducho rozdiel medzi PHP a pythonom nepochopí.

Minule som narazil na dá sa povedať celkom triezvy pohľad na PHP od človeka, ktorý sa v tom vyzná - PHP: a fractal of bad design.

[little.owl]

To shrnuti a zaver ohledne PHP ve zminovanem odkazu je naprosto presne.

[pavlix]

ten jednoducho rozdiel medzi PHP a pythonom nepochopí.

Tak nějak. Ten rozdíl je naprosto propastný od jazyka samotného až po nástroje.

[pavlix]

To je IMHO takove lepsi PHP

K tomuhle srovnání podle mě může dojít pouze člověk, který některý ze zmíněných jazyků vůbec nezná. Kdybych řekl, že Java je takový lepší Pascal, tak jsem pravdě blíž.

a ze by bylo moc poptavek po programatorech v Pythonu, to se rict neda...

U nás se ta poptávka vylepuje po celé firmě, protože je pythoních projektů strašně moc a programátorů nedostatek. A těch firem pracujících s Pythonem je víc. Ve srovnání s Javou je těch poptávek na trhu práce početně málo, ale to samá platí o nabídce programátorů. Představa, že by pythoní programátor nemohl sehnat práci je značně mimo.

[little.owl]

ale lidi budou remcat, ze se s tim v praxi neuzivi

Ja se s C/C++ uzivim, poptavka je.

delat v C webovky

Existuji i jine veci nez webovky.

nebo neco s DB muze jenom masochista

High performance webove/db aplikace se pisi i v C++.

ze vysoke jsou naprd, protoze nepripravuji lidi pro praxi.

Informatika na vysoke skole je o necem jinem, nez studovat manual/stadandard jazyka XY.

[deda.jabko]

Ja se s C/C++ uzivim, poptavka je.

To je kvaltni argument. Srovnej s poptavkou Java/.NET.

Existuji i jine veci nez webovky.

High performance webove/db aplikace se pisi i v C++.

Ano. Ale je potreba si uvedomit, ze vetsina aplikaci v IT je jenom hloupe presypani dat od uzivatele do databaze a zpet. Vetsina lidi stejne skonci u toho, ze dela ruzna ucta, evidenci dokladu nebo webove obchudky/portaly, at uz v mensim, ci vetsim rozsahu, at uz s vetsi ci mensi vnitrni logikou. Prilezitost delat zajimavejsi veci ma jen zlomek lidi.

ze vysoke jsou naprd, protoze nepripravuji lidi pro praxi.

Informatika na vysoke skole je o necem jinem, nez studovat manual/stadandard jazyka XY.

Tvrdim snad neco takoveho? Ja jen tvrdim, ze pokud nebude vyucovan nejaky mainstreamovy jazyk, tak se to lidem nebude libit, protoze takovi absolventi nebudou okamzite pouzitelni v praxi.

[little.owl]

Ale je potreba si uvedomit, ze vetsina aplikaci v IT je jenom hloupe presypani dat od uzivatele do databaze a zpet.

Mozna ... Jeste, ze asi nedelam v IT.

protoze takovi absolventi nebudou okamzite pouzitelni v praxi.

A ted jsou?

[deda.jabko]

Mozna ... Jeste, ze asi nedelam v IT.

V Anglii jsem nebyl delsi dobu, ale vazne jste tam uz prestali rozlisovat slova ,,vetsina'' a ,,vsechny''?

[little.owl]

Jeste rano se to tu rozlisovalo. Proc?

[deda.jabko]

v tom pripade bude problem nekde jinde.

[little.owl]

Ve vas.

[pavlix]

To je kvaltni argument. Srovnej s poptavkou Java/.NET.

[flejm]Srovnej s poptávkou na prodavače :).[/flejm]

Ale je potreba si uvedomit, ze vetsina aplikaci v IT je jenom hloupe presypani dat od uzivatele do databaze a zpet.

Aha. A na to je potřeba vystudovat univerzitu. Není pak ekonomicky zdravější si ten diplom koupit?

Ja jen tvrdim, ze pokud nebude vyucovan nejaky mainstreamovy jazyk, tak se to lidem nebude libit

Remcat budou tak jako tak.

protoze takovi absolventi nebudou okamzite pouzitelni v praxi.

Chci vidět člověka, který je ihned použitelný v praxi jen díky tomu, že je absolventem nějaké VŠ.

[podlesh]

ale lidi budou remcat, ze se s tim v praxi neuzivi

Ja se s C/C++ uzivim, poptavka je.

Což vcelku nemá vliv na to, zda budou lidi remcat.

ze vysoke jsou naprd, protoze nepripravuji lidi pro praxi.

Informatika na vysoke skole je o necem jinem, nez studovat manual/stadandard jazyka XY.

Já si živě pamatuji to remcání za nás: checeme více C++, delphi, a hlavně windows, méně nepoužívaných ptákovin jako je unix nebo dokonce linux.

To bylo ještě před Javou. Ta se v seznamu požadovaných praktických znalostí na rok nebo dva objevila, ale rychle ji vystrnadil .NET a PHP.

[pavlix]

Což vcelku nemá vliv na to, zda budou lidi remcat.

Remcat budou za všech okolností :).

[trekker.dk]

Na vysoke se nejaky mainstreamovy programovaci jazyk musi ucit, protoze pak budou vsichni nadavat, ze vysoke jsou naprd, protoze nepripravuji lidi pro praxi.

Na vysoké by se právě mělo učit programování (algoritmizace a principy), ne jazyk.

[deda.jabko]

Na vysoké by se právě mělo učit programování (algoritmizace a principy), ne jazyk.

Vyuka algoritmizace nebo principu se nevylucuje s tim, ze se soucasne uci i nejaky jazyk, nebo snad ano?

[Saljack]

Přesně tak, u nás na FELu máme většinou na výběr u domácích úloh mezi C, C++ nebo Javou občas ještě Python. Jestli tady někdo brečí nad tím, že je hrozné, že se učí Java nebo něco jiného, tak je to pitomec. Pokud umím programovat v jednom jazyku a chápu obecné principy programování, tak není problém se za týden naučit v téměř jakémkoliv jazyce. Každý jazyk se prostě hodí na něco jiného, tak to konečně pochopte.

[pavlix]

Na vysoke se nejaky mainstreamovy programovaci jazyk musi ucit, protoze pak budou vsichni nadavat, ze vysoke jsou naprd, protoze nepripravuji lidi pro praxi.

Je zbytečné, aby vysoká škola praxi suplovala a přečtení manuálu. Příprava na praxi by měla být od samotné praxe značně odlišná, jinak je úplně zbytečná.

[sonicpp]

Ještě že takový chujoviny jako Javu a Mono vůbec nemám nainstalovaný :-P

[Rovano]

Jenže to používají banky apod.

[washeck]

Komerční banku jsem zrušil už před mnoha lety. Kromě věčně nefunkčního bankovnictví závislého na konkrétní verzi Javy zavedli po jakémsi bezpečnostním incidentu ověření přes SMS, k čemuž byl zapotřebí certifikát - jenže ten co mi poslali, byl špatně vygenerovaný a musel jsem jít na pobočku pro nový. Vzhledem k provozním hodinám 9:30-17 jsem si na to musel vzít volno a když už jsem tam šel, tak jsem účet zrušil.

Od té doby jsem vyzkoušel více bank, ale žádná nepotřebovala Javu.

[Delaunay]

Banky používají často javu na serverové straně. Java u klienta, no to je samozřejmě zlo samo o sobě, to je bez debat

[s]

Tady de o to, ze prohlizec s java pluginem muze spustit javovej kod, kterej by mel byt sandboxovany a kvuli zranitelnosti ten sandbox umi obejit. U webovky to nevadi.

[Rovano]

No jó...ale znám jednu paní, co byla u ČSOB. Nejel Internet banking(tehdá). Tak zrušila účet a šla ke Komerčce. Podruhé asi rušit nic nebude.

[pavlix]

Tak zrušila účet a šla ke Komerčce.

To vyhrála :D.

[Michal Fecko]

Slovenská Tatrabanka chce vraj prejsť kompletne na IB založený na Flashi To je ešte lepšie ako mať IB založený na Jave

[Andrej]

to nie je ze "chce vraj", on ten idiotsky flashovy internet banking maju oficialne ako dalsiu verziu. uaaaaaaaaaaaaaaaaaaaaaa.

[Michal Fecko]

[azurIt]

momentalne je uz ako primarna verzia. RIP

[Salamek]

LOL tak to je fail, kdyz ma nekdo prezentacni web ve flashi tak je to sice prasarna ale na tech par stranek to neni zase tak hrozny, ale cely IB ve flashi tak to je teda opravdu mazec horsi reseni snad na trhu ani neni

[toTem]

Proc tak kriticky ? Backend maji nejspis dal v Jave, frontend ve Flexu/Flashi... pominu-li tu histerii s HTML5 a s tim souvisejici kopani do Flashe, tak je to porad velice solidni platforma (spolu s Flex SDK): Flash je pomerne solidne vykony virtualni stroj s podporou JIT kompilace. Krome iOS zarizeni mohou fungovat na androidech, windows, macosx, a GUI je stylovatelne pomoci CSS, pomerne rychle se v tom prototypuje a vyviji... banka muze vyuzit i advancovana API jako audio/video prenosy se svym bankerem, geolokacni sluzby (nejblizsi bankomat), ... nezatracujme bezhlave roky vyvijenou platformu, kdyz nemame jeste alespon stejne silnou jinou/novou misto ni... HTML5 to bohuzel jeste neni (modularizace, class-loading, advancovana prace s textem, audio/video, ...). Solidne je na tom IMHO napr. JavaFX.

[pavlix]

pominu-li tu histerii s HTML5 a s tim souvisejici kopani do Flashe

A já měl za to, že se jedná o opravu předchozího stavu a ukončení té histerie s Flashem.

[Redi]

A mě teď zrovna paní učitelka na IKT vysvětlila, že Flash je jediná možná cesta do budoucna a že třeba teď v něm dělala několik projektů pro desktop a že je nejlepší, jelikož vám vypadne jen jedno .exe :P

[Bystroushaak]

Je to paní učitelka, měl jsem vždy za to, že to mluví samo za sebe.

[Redi]

lol

[pavlix]

Ale jo. Taky znám docela hodně učitelů, kteří učí tímto způsobem.

[kyytaM]

Androdid v buducnosti uz nie a ostatne mobilne platformy takisto nie. A cacsom cim dalej tym vacsie percento desktopov bez toho deraveho hovna.

[jnd]

A co OpenJDK? Poslední nedávná díra ji neovlivnila, tak nějak se mi zdá bezpečnější.