Oracle nechá Javu děravou další čtyři měsíce

Uživatelé aktuálních verzí Javy jsou ohroženi exploitem, který umožňuje únik apletů ze sandboxu. Dobrovolníkovi trvala oprava chyby půl hodiny a opravu zaslal do Oracle ve snaze urychlit vydání oficiálního patche. Oracle má ale v plánu nechat uživatele v ohrožení další čtyři měsíce, protože opravnou verzi plánují až na únor 2013. Nejlepším řešením tak zůstává se minimálně Java pluginu pro prohlížeče zbavit.

24.10.2012 08:42 | Luboš Doležel (Doli) | Bezpečnostní upozornění

Komentáře

[vladki]

Tak to je super. :( Hlavne ze bez javy nefunguje spousta internetovych bankovnictvi. Vsude jinde se da bez ni obejit.

[Franta]

Spousta? Mám účet u dvou bank a ani jedna Java Applety nevyžaduje.

[kavol]

no tak třeba Volksbank a Komerční banka, z těch, se kterými občas přijdu do styku ...

KB je obzvlášť vtipná s tím, jak řve velké červené hlášky na téma, jak to s tou javou nefunguje a kdesi cosi, a normálně to v pohodě fachá - takže co chvíli řeším "support call" od máti ve stylu "prosímtě já nerozumím, co mi to tady zase říká - to nic, to odklikni"

jinak já jsem už nějakou dobu u Fio a v pohodě z kteréhokoli browseru a bez pluginů - tedy nasrali mě redesignem, nicméně to pak potichu doladili (z výpisu, který se předtím v pohodě vešel na půl stránky, jsem po redesignu viděl tři řádky apod.)

[Zopper]

V ČR je to ještě pohádka, řada bank javu nepotřebuje (tedy - osobně jsem se zatím v poslední době nesetkal s žádnou, která by javu chtěla). Zato v některých "vyspělých" západních státech nemáte (aspoň jako normální osoba) absolutně žádnou jinou možnost, protože všechny banky ověřují přístup centrálně vůči jisté státní službě. :( Ještě štěstí, že se mě prohlížeč před spuštěním javy ptá...

[Franta]

Přesně tak, spousta "vyspělých" zemí je ve skutečnosti sto let za opicema, protože kdysi (dřív než my) zavedli nějakou technologii a od té doby nebyli schopní to upgradovat. ČR je v tomhle poměrně dost pokroková.

[Petr Tomášek]

V ČR je to ještě pohádka, řada bank javu nepotřebuje (tedy - osobně jsem se zatím v poslední době nesetkal s žádnou, která by javu chtěla). Zato v některých "vyspělých" západních státech nemáte (aspoň jako normální osoba) absolutně žádnou jinou možnost, protože všechny banky ověřují přístup centrálně vůči jisté státní službě. :( Ještě štěstí, že se mě prohlížeč před spuštěním javy ptá...

Který stát?

[Zopper]

Nechci být sprostý, takže sem dám jen odkaz na slovní zásobu, jakou momentálně toužím použít... http://www.hovnokod.cz/763

[Michal Fecko]

Uz mi zacina byt jasne, preco ti chudaci, co robia s vydobytkami vedy a techniky sudruhov z AjBiEm, zarabaju take prachy - setria si na psychiatra, ked im definitivne jebne.

[m1c4a1]

S přitom patch byl vyroben za 30 minut. http://developers.slashdot.org/story/12/10/23/2141209/researcher-develops-patch-for-java-zero-day-in-30-minutes

Jde vidět, že Oracle je moloch, co se neumí přizpůsobit současnému stylu vývoje.

[Franta]

Pro uživatele GNU/Linuxu by měl být důležitější OpenJDK/IcedTea/RedHat než nějaký Oracle.

[Marek]

Pro uživatele GNU/Linuxu by měl být důležitější OpenJDK/IcedTea/RedHat než nějaký Oracle.

Proč? Ne každý uživatel je ideolog.

[Franta]

Proč ideolog? Od toho jsou přece distribuce a proto je to svobodný sofware -- aby to mj. mohl v případě, že je původní dodavatel neschopný, opravit i někdo jiný (autoři GNU/Linuxové distribuce, dobrovolníci, jiní dodavatelé...).

[pavlix]

Proč? Ne každý uživatel je ideolog.

Právě proto. Když nejsem ideolog, tak používám výchozí nebo doporučenou implementaci, nebo ne?

[Zopper]

Ne. Tak používám to, co se pro daný účel hodí nejvíc, což často znamená Oracle Java. Znatelně menší výkon, případně rovnou nemožnost spustit co potřebuju (kdo za to může nemá smysl řešit, když tu aplikaci potřebuji) jsou snad dostatečné důvody proti OpenJDK. Pokud samozřejmě výkon není tak kritický a všechno funguje, pak není zase důvod přecházet z defaultní openjdk jinam.

[pavlix]

Ne. Tak používám to, co se pro daný účel hodí nejvíc

To už bych musel být právě ideolog nebo extrémní až patologický perfekcionista, abych zkoumal každou jednotlivou výchozí komponentu systému, zda by nebylo lepší ji nahradit něčím jiným. A nebo by mě musela Java nějak konkrétně trápit.

Pokud samozřejmě výkon není tak kritický a všechno funguje, pak není zase důvod přecházet z defaultní openjdk jinam.

To jsem psal.

[SPM]

Nemusíš. Nainstaluješ systém s OpenJDK. Pustíš svojí oblíbenou javovou aplikaci. Nefunguje. Nainstaluješ sun (oracle) jvm. Funguje. Pak můžeš být OSS fanatik, dvě hodiny to ladit, debugovat, nastavovat a třeba ti to bude fungovat i s OpenJDK :)

[pavlix]

Nemusíš. Nainstaluješ systém s OpenJDK. Pustíš svojí oblíbenou javovou aplikaci. Nefunguje.

Jestli se někdy v životě do takové situace dostanu, sepíšu do blogu výsledek.

Pak můžeš být OSS fanatik, dvě hodiny to ladit, debugovat, nastavovat a třeba ti to bude fungovat i s OpenJDK :)

Mám to chápat tak, že OSS fanatik se pozná podle toho, že není prostým uživatelem, ale někdy i něco ladí, nedej bože debuguje? A nedejte bohové třeba i pro ostatní?

[SPM]

Ne, bude řvát jak je ta java úplně nahovno, aplikaci v ní píšou jenom prasata a ti, co to používaj, jsou komerční imperialisti a tak podobně. Ty java aplikace co mám a potřebuju používat jsou asi 3. A radši ten čas využiju jinak, než abych strávil 10 hodin laděním OpenJDK na mých 3 počítačích a to nejspíš po každém upgradu app nebo OpenJDK. Co jsem zkoušel, tak na těch prvních dvou (bez úprav) to nejede s OpenJDK vůbec, u té 3. jsem to už nezkoušel, pač v té době už všude leželo sunní JDK.

[pavlix]

Tak to jsi mě uklidnil.

[R]

Ale ked v tom polovicka tych "multiplatformnych" aplikacii nejde...

[Franta]

Že je autor aplikace prase a napsal ji schválně, aby nebyla multiplatformní, tak to snad není chyba OpenJDK, ne?

[radix]

Uzivateli je jedno, ci je to chyba. Proste pouzije to, co funguje.

[Zopper]

Zatím pokaždé, když jsem zkoušel srovnat výkon, tak OpenJDK dost zaostávalo (znatelně pomalejší reakce IDE, nižší FPS v Minecraftu...), a občas to co jsem potřeboval ani v OpenJDK nefungovalo... Takže je sice hezké, že existuje, ale nejde nasadit univerzálně.

[Espinosa]

Já mám s OpenJDK 7 jakožto náhradu za JDK7 poměrně dobré zkušenosti. Co se týče výkonu a kompatability, nezaznamenal jsem jediný problém. Jel jsem na tom mimo jiné IntelliJ, Groovy, Scalu, JEdit, serverové věci atd nějakou dobu. Minimálně JVM by měla být naprosto stejná.

Jediné na co jsem narazil, bylo sub-optimální zobrazování některých fontů u Swing aplikací. Což bohužel u IntelliJ vadí hodně. Originální Sun Java font rendering je bohužel jednou z těch několika málo ne-otevřených věcí. A open source náhrada (hádám že používají freetype, asi co jiného) ještě nedosáhla těch samých kvalit. Ani původní Sun Java fonty nejsou distribuovány s Open JDK. Asi by to šlo spravit nějakou machinací s fontconfigem, definovat vhodné alternativy pro postižené fonty, ale já raději šetřil čas a nainstaloval Oracle SDK.

[jehovista]

"Nejlepším řešením tak zůstává se minimálně Java pluginu pro prohlížeče zbavit"

Nebo se prestehovat do jeskyne a zivit se korinky. To se clovek zbavi spousty problemu.

[pavlix]

Nebo se prestehovat do jeskyne a zivit se korinky. To se clovek zbavi spousty problemu.

Já dávám přednost tomu se vykašlat na java plugin v prohlížeči a živit se v okolních restauracích :).

[J]

To sem zvedav, jak pak budes adminovat trebas nejaky ten HW ... hromada ho ma totiz administraci vyzadujici prave javu. A nemluvim o HW za tisicovky, ale za statisice.

[pavlix]

To sem zvedav, jak pak budes adminovat trebas nejaky ten HW ... hromada ho ma totiz administraci vyzadujici prave javu.

Ještě jsem takový hardware v ruce neměl. Ani za tisícovky, ani za statisíce. A žiju. A navíc v rozporu s tvými představami žiju převážně přítomností a aktuálními potřebami, ne hypotetickou možností, že by někdy někde něco.

Nicméně, když už jsme u toho, pokud hardware za statisíce nejde administrovat jiným způsobem než Java pluginem, tak je to hodně silná indicie, že je to strašný šunt a že s ním budou i jiné, mnohem závažnější, problémy. Je mnoho způsobů, jak do produktu vtisknout informaci, že někdo přemýšlel kolenem.

[SPM]

Nicméně, když už jsme u toho, pokud hardware za statisíce nejde administrovat jiným způsobem než Java pluginem, tak je to hodně silná indicie, že je to strašný šunt

No nebo půjde administrovat jenom windowsí aplikací. Takže výběr je celkem jasný :) Jinak mi to přijde jako dost silné tvrzení...

[kavol]

by mě zajímalo, co si pod tím "administrováním" vy dva představujete?

- já bych očekával, že hardware za statisíce bude umět třeba IPMI ...

[SPM]

hardware nekončí jen u serverů / PC bazmeků...

[pavlix]

Asi se dám na administrování šroubů.

[kavol]

proč tak vyhýbavá odpověď?

tak když se ptám, tak řekni rovnou, že jako "administrování" myslíš cojávím třeba programování CNC stroje ...

[SPM]

Neni vyhýbavá, jenom implikace hardware => server neplatí, tudíž IPMI jde mimo. Je třeba hromada síťovýho hw, kde pro používání/konfiguraci IPMI je k ničemu.

[kavol]

všiml sis slůvka "třeba" před tou zmínkou o IPMI?

já žádnou takovou implikaci nedělám; s hardware příliš nepracuju[*], proto se ptám, o čem se vlastně bavíte - z mého laického pohledu mi totiž přišlo, že vo hovně, pardon, teda že jeden (resp. jedni, pokud J != SPM) o voze a druhej o koze

pavlixův názor, že kvalitativní úroveň výrobků obvykle bývá konsistentní přes celou produkci (ve smyslu od kreslicího prkna po servis u zákazníka), totiž sdílím, a pak je to už jen otázka náhledu na designové rozhodnutí mít ovládání v Javě/na Windows, kde bych se tak mírně klonil k tomu, že toto bývá hodně špatné (pro zákazníka, ne nutně pro firmu, jejímž cílem je samozřejmě generovat zisk, nejlépe odrbáním zákazníka - takže to zařízení nejspíš může být odrbáno, ehm, chci říci "optimalizováno", i jinak než jen ovládáním)

tož ... co kdybys místo "hromady síťovýho hw" uvedl aspoň jeden příklad, kde lze pavlixovo "dost silné tvrzení" roznést na kopytech?

[*] pokud jde o sítě, kde jsem měl co dělat, tak na koleji jsme začínali s linuxovejma routerama a servříkama, dále nějaký ty pojítka spravovaný buď přes webový rozhraní (bez pluginů) anebo Mikrotiky s tím jejich strašným RouterOS, takže ssh, no a jedinej switch s managementem v mojí správě měl sériovej port, kde stačil minicom - žádný Windows, žádná Java

[SPM]

Takže vlastně rejpeš co bys od pořádnýho hw očekával, ačkoliv nic nevíš :))

V mikrotiku afaik přes ssh taky nejde nastavovat úplně všechno. Když chceš ty příklady, tak Java klienta mám třeba k TippingPointu (resp. tomu sw nad tím). Taková tvrzení jako že když někdo dělá klienta v javě, tak rovnou drbe zákazníka mi přijde dost na hlavu. Pak sem do toho vstoupí ještě druhá skupina s tím, jak je to nahovno, když window manager nemá co dělat, protože jediná běžící aplikace je pak browser (který je na to neoptimalizovaný a žere výkonu jak hovado).

[pavlix]

V mikrotiku afaik přes ssh taky nejde nastavovat úplně všechno.

Příklad? Já mám za to, že Mikrotik přes SSH zpřístupňuje celou konfigurační databázi. Jediný případ, kdy mi tam něco nešlo nastavit byla softwarová chyba, kdy se shell nechtěl smířit se správným vstupem.

Takže vlastně rejpeš co bys od pořádnýho hw očekával, ačkoliv nic nevíš :))

Nic proti rýpnutí do ctěného kolegy kavola :), ale pokud nevytáhneš z rukávu něco, co Mikrotikové v SSH programově ignorují, tak sis těmi řečmi o neznalosti pěkně naběhl.

[SPM]

S mikrotikama nedělám, někde jsem to zaslechl. Nicméně, abych tady teda jenom tak blbě neplkal, tak jsem v rychlosti aspoň po něčem zapátral a našel tohle: http://forum.mikrotik.com/viewtopic.php?f=10&t=50600 - pravda, je to už staršího data, takže v současné verzi to už možná funguje, nicméně aspoň to dokazuje, že min. před rokem ve CLI všechno nebylo :)

[pavlix]

S mikrotikama nedělám, někde jsem to zaslechl.

Jo já jsem zase někde zaslech, že Mikrotik funguje jako perfektní IPv6 router :).

Nicméně, abych tady teda jenom tak blbě neplkal, tak jsem v rychlosti aspoň po něčem zapátral a našel tohle: http://forum.mikrotik.com/viewtopic.php?f=10&t=50600 - pravda, je to už staršího data, takže v současné verzi to už možná funguje, nicméně aspoň to dokazuje, že min. před rokem ve CLI všechno nebylo :)

To je sice hezké, ale přesně z těchto důvodů jsem se ptal tak, abych vyloučil zřejmé chyby. A v tomto případě je to dokonce regrese od předchozí major verze, jak se píše už v prvním příspěvku. Jiná věc je, jak rychle a ochotně Mikrotici chyby řeší a jak se ochota liší podle toho, kdo je na chybu upozorní.

Když najdu chybu v GUI či WebUI (a že jich pár bylo), tak pak můžu tvrdit, že Mikrotik neumí vše nastavit z GUI? Striktně vzato asi můžu.

[SPM]

No minimálně je na tom vidět, že CLI asi moc pořádně testované není a počítají s tím, že až na pár úchylů to budou stejně nastavovat všichni přes WinBox :)

[pavlix]

No minimálně je na tom vidět, že CLI asi moc pořádně testované není

Ano, stejně jako vše ostatní, co na tom systému je.

a počítají s tím, že až na pár úchylů to budou stejně nastavovat všichni přes WinBox :)

Ne. Stejnou logikou bych já vyvodil přesný opak, z toho kolik chyb zavlekli do GUI.

[Espinosa]

http://www.julianevansblog.com/2012/10/apple-discontinues-java-plug-in-support-for-mac-os-x.html
...mainly because Oracle .. didn’t have a good history when it came to patching known Java exploits. Anyone remember the Blackhole exploit kit? Also, in some instances the patches themselves had even more security bugs – hence Apple wanting control on Java patch releases.

[Espinosa]

Někdy mi přijde že to Oracle s Java Applety tak trochu vzdal. Místo na slunci mu dávno vyfoukl Flash a applety jen paběrkují.
Nepřekvapilo by mě to, kdyby to Oracle se appletů zcela zbavil. Tedy pardon, "kompletně předal vývoj komunitě".
Java FX se taky moc nechytla. Možná bude následovat.
Jen aby nenásledoval i Swing.

[Luboš Doležel (Doli)]

No, Swing už je obsolete, ne?

[Franta]

To už nikdo nedělá GUI aplikace nebo co?

[Luboš Doležel (Doli)]

Teď se to udržuje tuším v rámci NetBeans, jinak se má používat JavaFX.

[KarelI]

Ja delam

[nyan]

Ja myslel ze to podelal a vzdal uz Sun, v dobach pravekych... Na druhou stranu, musim rict ze nektere java applety ktere jsem pouzival byly uzitecnejsi nez 99.999% flashovych veci...

[Luboš Doležel (Doli)]

Abych pravdu řekl, aplety mám jako programátor tisíckrát radši než jQuery/HTML. To je horor.

[dustin]

Jasně že je snazší naprogramovat word než google docs. Otázkou je, jaký je přínos pro uživatele.

[Rover623]

Vzhledem k tomu, že v podmínkách domácího uživatele jede s OpenJDK 7 víceméně vše, otázka zní jednoduše. Je stejným problémem postiženo i OpenJDK 7?

[Václav "Darm" Novák]

I kdyby nakrásně bylo, u OpenJDK fakt nemusíme čekat na to až Oracle milosrdně uvolní verzi s patchem který dávno máme.