News Neue Sicherheitslücke in Reflection-API von Java entdeckt

[przszy]

Die Meldungen über Sicherheitslücken in Java reißen nicht ab: Nachdem Oracle vor genau einer Woche im Rahmen des turnusmäßigen vierteljährlichen Patchday insgesamt 42 Sicherheitslücken in Java geschlossen hat, scheint der polnische Sicherheitsexperte Adam Gowdiak ein weiteres Sicherheitsproblem entdeckt zu haben.

Zur News: Neue Sicherheitslücke in Reflection-API von Java entdeckt

 

[JamesFunk]

Unfassbar, in welcher Konzentration die Lücken auftreten.

Die sollten Java vielleicht mal grundlegend umkrempeln und nicht an zig Stellen flicken.

 

[Cool Master]

Seh ich auch so. Einfach Java mal komplett neu aufbauen. Dieses patches kostet doch einfach nur Zeit die man deutlich besser in ein richtiges Update oder gar Upgrade rein stecken könnte. Aber leider ist Java nicht mehr wirklich das was es mal unter Sun war seit Oracle das Ruder in der Hand hat.

 

[|SoulReaver|]

Ich brauch es zum Glück nicht und somit habe ich auch kein Lückenproblem

 

[HW-Mann]

Java = schweizer Käse ... genau wie der dämliche Adobe Flashplayer ... echt erbärmlich!

 

[t-master]

Aber leider ist Java nicht mehr wirklich das was es mal unter Sun war seit Oracle das Ruder in der Hand hat.

Ist das nicht n bisschen unfair?
Allein schon von der Zeit her kann Oracle doch diese ganzen Bugs und Sicherheitslücken nicht alleine reingebaut haben.
Da muss schon vorher durch Sun eine gute Basis gelegt worden sein und dementsprechend dürfte es nicht anders aussehen wenn jemand anderes Sun und damit Java übernommen hätte.

 

[Cool Master]

Ne seh ich nicht so. Immerhin hat Oracle Sun aufgekauft inkl. der ganzen Java Entwickler, also sind da auch die "alten Hasen" dabei die Java in ihrem Schlaf können. Dazu kommt das Sun immer recht fix war was Bugfixes angeht. Aber wie ich schon sagte, es sollte einfach mal ein kompletten rewrite geben von 0 neu aufbauend. Der Release von Java 8 wurde ja auch ins Jahr 2014 verschoben weil Oracle Java einfach stiefmütterlich behandelt und kein Geld rein stecken will.

 

[DunklerRabe]

Ist das eigentlich, streng genommen, noch eine "News"? Ich finde die Berichterstattung über eine weitere Lücke in unserem geliebten Enterprise-Flash reisst seit einiger Zeit doch eh nicht mehr ab, sodass aus den ehemaligen News doch eigentlich der Standard geworden ist.

Bringt mal ne News wenn man mal keine Lücke mehr gefunden hat!

 

[grenn]

Oracle sollte sich mal ein besseres Updateverfahren ausdenken (bei Google Chrome oder Firefox klappt dieses ja auch) da nur ein kleiner Bruchteil die aktuellste Version nutzt http://business.chip.de/news/Java-Luecke-Uralt-Versionen-machen-es-Hackern-leicht_61242363.html

 

[deo]

Wenn die Lücke ohne Benutzerinteraktion nicht ausgenutzt werden kann, ist sie nicht so ernst.

 

[JuggernautX]

ich habes deinstalliert, mir reicht es. Leider muss ich mein geliebtes Hibiscus/Jameica opfern.

 

[Heretic Novalis]

Java-Fail #666

 

[GinoBambino]

Im Zusammenhang mit .NET habe ich solche Meldungen zum Glück noch nicht gehört. Entweder hat MS gute Arbeit gemacht oder aber es ist nur eine Frage der Zeit Da ich selbst Entwickler bin, weiß ich, wie schwierig es ist, ein sicheres, lückenloses System zu entwerfen.

 

[Dreadslayer]

Bei .NET & Co gehen die Sicherheitslücken nur nicht derart durch die Medien. Daraus zu schliessen, dass es sicherer ist, ist ein Trugschluss. Jede komplexe Software hat Sicherheitslücken.

 

[ice-breaker]

Einfach Java mal komplett neu aufbauen.

Auf Grund des großen Codeumfangs ist das einfach nicht realistisch. Und selbst wenn es einen kompletten Rewrite geben würde, wird man noch immer Millionen Sicherheitslücken finden, der Mensch macht nunmal Fehler.
Es ist aktuell eben "cool" Sicherheitslücken in Java zu suchen, die gleichen Leute würden aber auch genausoviele Lücken in jeder anderen Software finden, aber danach schreit eben kein Hahn - man bekommt keine Publicity.

Die könnten auch morgen das .Net-Framework zerlegen und wöchentlich neue schwere Fehler finden. Ich will da mal die ganzen "zum Glück habe ich Java gelöscht"-Leute sein, auf einem Windows ist mit deinstalliertem .Net nicht mehr viel mit Software

 

[chris84]

mir ist Java seit einigen Monaten zu unsicher geworden und ich verzichte dankend ;-)
Mittlerweile sind viele Seiten Java frei u.a. DHL (Paketmarke online drucken) etc. und es besteht somit kein Bedarf mehr (für mich )

 

[dude90]

ich habes deinstalliert, mir reicht es. Leider muss ich mein geliebtes Hibiscus/Jameica opfern.

[ ] Du kennst den Unterschied zwischen dem Java-Plugin (Browser) und
dem JRE / JDK

Das ist doch ein ganz normales Java Programm.
Das ist wie eigentlich immer bei solchen Meldungen nicht betroffen.

Kann man das denn nicht einfach mal in die News schreiben?
Sonst denkt doch jeder 2. das es um das normale JRE geht.

 

[Prof_Albert]

.NET wird ja auch nicht im Browser ausgeführt. Das .NET-browser-plugin ist mindestens genauso unsicher (war bei mir im FF die längste Zeit geblacklistet)

interessanterweise auch das das Server-JRE. Die offensichtliche Frage, wie denn der Angriffs-Code in die VM des Servers geraten soll, beantwortet Gowdiak auf der unternehmenseigenen Internetseite seiner Firma Security Explorations lediglich mit einem sehr vagen Verweis auf Software und APIs, die das Einschleusen von Java-Code erlauben.

Ja wenn ich eine Funktion doSomething(String classname) anbiete, dann kann das zu Sicherheitsproblemen führen...

 

[JuggernautX]

[ ] Du kennst den Unterschied zwischen dem Java-Plugin (Browser) und
dem JRE / JDK

Das ist doch ein ganz normales Java Programm.
Das ist wie eigentlich immer bei solchen Meldungen nicht betroffen.

Kann man das denn nicht einfach mal in die News schreiben?
Sonst denkt doch jeder 2. das es um das normale JRE geht.

In der News steht aber:

Betroffen von der Sicherheitslücke ist nach Gowdiaks Angaben neben der aktuellen Java Standard Edition 7, einschließlich der vor Kurzem veröffentlichten Version Java 7 Update 21, interessanterweise auch das das Server-JRE

und wie Du schon sagst, ist Hibiscus/Jameica ganz normales Java Programm und dieses ist betroffen weil siehe oben!

 

[Jojo_44]

In der News steht aber:


und wie Du schon sagst, ist Hibiscus/Jameica ganz normales Java Programm und dieses ist betroffen weil siehe oben!

Ok es steht im Text das die normale JRE auch betroffen ist, aber: Eine Java Application hat im Gegensatz zu einem Applet ja von Haus aus Zugriff auf große Teile des Systems. Wenn ich die Java Application jetzt nicht gerade als Administrator ausführe, sehe ich keinen Sinn für diese Sicherheitslücke bei Java Desktop Apps, weil auf was kann ich mit einer normalen Application sowieso nicht zugreifen ?