News Schwere Sicherheitslücke in Oracle Java 7

[Mischu_]

ich wollte es nicht so weit ausführen

mich stören solche meldungen von "müll" einfach immer, da merkt man aber wenigstens gleich wie ernst man die meldung nehmen kann^^

privat verwende ich schon die 8er beta, die war anscheinend nie von der lücke betroffen
Java v8b72

heute bin ich der linkmann!

Genau meine Meinung ... wollte nicht den Klugscheisser raushängen, aber ich finde so eine oberflächliche News immer sub-optimal (egal in welcher Technologie). Und da finde ich einwenig Erläuterung nicht fehl am Platz.

Das Anwendungssprektrum von Applets ist in etwa mit Windows 95 zu vergleichen ... und das patcht MS ja nicht mal mehr.

Muss mir die feature Liste von Java 8 mal genau Anschauen ... dann werd ichs sicher auch mal einwenig antesten.

 

[deo]

Ein neues Update ist verfügbar.

 

[Elkinator]

Ein neues Update ist verfügbar.

das sollten hier schon alle wissen, ich ja die links gepostet

 

[etheReal]

mich stören solche meldungen von "müll" einfach immer, da merkt man aber wenigstens gleich wie ernst man die meldung nehmen kann^^

Was für eine "Meldung"? Das war keine "Meldung", sondern ein privater Kommentar eines Nutzers, den Java 7 bei einer Anwendung schon mal in den Wahnsinn getrieben hat, weil ständig eine korrumpierte Datenbank gemeldet wurde.

Und was mich extrem daran störte, war eben, dass Oracle mir als unwissendem User einfach die Installation von Java 7 "aufgedrückt" hat, ohne mich vielleicht zu informieren, dass ich unter Umständen Kompatibilitätsprobleme mit Anwendungen bekommen könnte

Mein Gott, man wird sich ja wohl mal ein bisschen aufregen dürfen. Ich habe ja nicht behauptet, ein Java Experte zu sein, und ich habe auch nicht behauptet, meine Aussage sei eine "News Meldung"

 

[Elkinator]

Was für eine "Meldung"? Das war keine "Meldung", sondern ein privater Kommentar eines Nutzers, den Java 7 bei einer Anwendung schon mal in den Wahnsinn getrieben hat, weil ständig eine korrumpierte Datenbank gemeldet wurde.

Mein Gott, man wird sich ja wohl mal ein bisschen aufregen dürfen. Ich habe ja nicht behauptet, ein Java Experte zu sein, und ich habe auch nicht behauptet, meine Aussage sei eine "News Meldung"

dein posting versteht man einfach so als ob sie version v6 nur weiter pflegen weil sie wissen das v7 eine sicherheitslücke ist.
hättest es "etwas" besser formulieren sollen

 

[Blutschlumpf]

Dann wirds halt deaktiviert. Mir fällt eh pauschal keine Seite ein, die ich bräuchte und die Java benutzt.

 

[schneeland]

@Der-Orden-Xar:
Es ging dann sogar relativ schnell. Das entsprechende Update ist seit kurzem verfügbar: http://www.oracle.com/technetwork/java/javase/downloads/index.html

 

[noxon]

@noxon
Welches von deinen genannten Beispielen hat jetzt nochmal etwas mit Enterprise-Anwendungen zu tun?

Zum Beispiel diese OpenVista Software von MedSphere.
Ich kenn mich natürlich auch nicht so sehr mit Enterprise-Anwendungen aus. Keine Ahnung was die Unternehmen alles so im Einsatz haben, aber hier ist eine kleine Liste von Unternehmen, die Mono-Software bei sich einsetzen.
Companies using Mono

Erstaunt war ich zum Beipsiel auch darüber, dass die Such- und Indexierungsfunktion von Wikipedia mit Mono realisiert wurde.

 

[chriss_msi]

Den Tag will ich nochmal erleben, an dem Java lückenlos läuft

 

[Elkinator]

Den Tag will ich nochmal erleben, an dem Java lückenlos läuft

ist es modern über java zu lästern?
auch andere software hat lücken, da macht nur niemand so eine große panik.

und wenn du eine software wie java zu 100% lückenfrei machen kannst, solltest dich bei einem hersteller bewerben, du wirst dann reich.

 

[DunklerRabe]

Nein, das ist eigentlich nicht modern. Macht man schon seit Jahren.

Aber grundsätzlich hast du völlig Recht, daher ist es ja auch wichtig zeitnah Patches zu haben. Und da Oracle den im Moment nicht liefert darf man da durchaus drüber meckern.

 

[Elkinator]

warum informierst du dich nicht?
oracle muß die lücke nicht mehr patchen weil es das update schon gibt...

 

[DunklerRabe]

Nach meiner Ansicht widerspricht dir Oracle an dieser Stelle:

Ich hab jetzt sicherheitshalber nochmal bei Oracle nachgeschaut. Ich würde nach wie vor sagen es wurde nicht gepatcht.

Wer will kann ja selbst mal nachlesen.
7u11 Changelog: http://www.oracle.com/technetwork/java/javase/7u11-relnotes-1896856.html
CVE-2013-0422 Security Alert: http://www.oracle.com/technetwork/topics/security/alert-cve-2013-0422-1896849.html

Das ist ein wenig verklausuliert, aber meiner Meinung nach steht da nicht "Ja, wir haben das Problem behoben!".

Aber wenn du da was anderes herauslesen kannst interessiert mich das!
So wie ich das sehe haben die den Security Level von Mittel auf Hoch gestellt und das wars eigentlich, zumindest bezüglich dieser Lücke.

 

[wazzup]

Wird alles sehr hoch gekocht mal wieder... Es ist ja nicht so das jede Website nun eine bedrohung ist. Wer nur auf bekannten Seiten unterwegs ist und dabei noch Adblock benutzt geht wohl kaum ein Risiko ein. Ich bin auch nicht grade ein Freund von Java, aber nur weil es überall Present ist. Es ist zu mächtig geworden. Rein vom ansatz her ist mir Java immer noch etliche male lieber als Flash, das wirklich nur massive Nachteile hat.
Also bleibt locker, wer hier was erzählt von gehäuften Vireneinfällen auf Kundenrechnern... sagt den Kunden mal sie sollen weniger XXX runterladen
Ich bleibe ganz entspannt bei sowas.

 

[Elkinator]

JDK and JRE 7 Update 10 and earlier

sollte da nicht "JDK and JRE 7 Update 11 and earlier" stehen wenn u11 auch noch betroffen ist.

Ergänzung (14. Januar 2013)

youporn ist sicher, da fängt man sich nichts ein
ich spreche da aus erfahrung^^

 

[DunklerRabe]

Ich seh das auch so, JETZT ist auch 7u11 betroffen und das sollte da auch stehen.
Das gabs aber ja bis gestern garnicht und ich glaube auch nicht, dass Oracle das noch in ihren Security Alert aufnimmt. Das sich Java jetzt dank der höheren Sicherheitseinstellungen per Popup meldet sehen die wohl als Fix an. Richtig gefixt wird es dann vielleicht beim nächsten Patchday im April oder mit einem Hot-Fix zwischendurch, falls die sowas überhaupt machen.

 

[Elkinator]

der beste fix wäre wenn man das blöde plugin deaktiviert, mir ist seit wochen keine seite untergekommen die es brauchen würde, ich aktiviere es garnicht mehr

 

[Targa 826]

Ist die Lücke durch das Update 11 nun geschlossen oder nicht?
http://www.pcwelt.de/news/Oracle_schliesst_Java_Zero-Day-Luecke-Java_7_Update_11-7352213.html

http://bugs.sun.com/bugdatabase/view_bug.do?bug_id=8005410

 

[Elkinator]

sollte gefixt sein wenn aracle extra ein update rausbringt ausserhalb von normalem termin.
aber am besten ist wenn du einfach das update installierst und das plugin noch deaktiviert lässt.
im laufe des tages sollte sich klären ob die lücke da wirklich geschlossen ist.

 

[etheReal]

Also ich merke nichts davon, dass Apple oder Firefox das Plugin automatisch deaktiviert hätten. Bin hier gerade an OSX 10.7.5 mit Firefox 17.01, und das Java Plugin war fröhlich und munter aktiv.
Ausser natürlich, Apple hätte es deaktiviert, ohne dass das Plugin dies gemerkt hätte.