News Schwere Sicherheitslücke in Oracle Java 7

[dgschrei]

Inwiefern?

Was kann man denn mit Java anstellen, was nicht auch mit .NET funktioniert? Beide haben ne VM in der der Zwischencode JIT kompiliert und ausgeführt wird.
Wenn überhaupt kann .NET zumindest unter Windows mehr, weil man vollen Zugriff auf die alten nativen APIs hat.

Die Zeiten in denen C#/.NET Windows only waren sind auch rum. Mono ist mittlerweile völlig brauchbar.

Seit Oracle Java vor die Hunde gehen lässt, sind bestehnde Java Programme eigentlich das einzig echte Argument, warum man Java noch den Vorzug geben sollte.

 

[GTR]

C# ist nicht plattforumunabhängig und JavaScript und Java haben nur den Namen gemeinsam.
Mono wird garantiert nicht in Enterpriseanwendungen eingesetzt.
Selten so nen schwachsinn gelesen.

 

[Tumbleweed]

Äpfel und Birnen in allen Belangen...

Der ganze Thread ist ein Witz. Ich wollte gestern schon was schreiben, habe dann aber einfach kopfschüttelnd abgebrochen.

Dass die Masse der Leute, auch nachdem es unzählige Male erwähnt wurde, nicht zwischen JS und Java unterscheiden kann, ist ja quasi schon Standard. Das hebt einen ja kaum noch an. Dass aber mehr und mehr die komplette Deinstallation von Java propagiert wird, obwohl auch dazu schon oft genug erwähnt wurde, dass hier das Browser-Plugin die Schwachstelle ist... direkt gefolgt von Untergangspropheten, die Javas Niedergang schon seit vielen Jahren prophezeien. Aufgeschnapptes Halbwissen am laufenden Band. Man kann dem interessierten Leser, der nicht so sehr in der Materie steckt nur raten, nicht alles für bare Münze zu nehmen, was hier so verbreitet wird. Wozu aber auch ich jedem rate, ist kein Java-Plugin im Browser aktiviert zu haben und wer wirklich darauf angewiesen ist aus welchem Grund auch immer, der sollte es zumindest nur dann aktivieren, wenn er es gerade braucht oder auf eine VM ausweichen.

Aber wie auch immer. Es wurde ja schon richtig gesagt - und ist auch kein Geheimnis - dass Javas Welt nicht die Desktop-Sparte ist. Oracle hat aber in Sachen Imagepflege auch nicht sonderlich Talent.

P.S.: dass wieder Javas Performance bemängelt wurde erhebt die ganze Sache fast schon auf ein Level mit Godwin's law.

 

[Konti]

Also mein Browser (IronPortable) fragt eh immer erst, ob ich ein Java-Plugin zulassen möchte.
Ansonsten geht auch das ScriptSafe Plugin für Chrome. Auch das scheint Java grundsätzlich erst mal zu blocken, es sei denn, man "traut" einer Seite.

 

[Merle]

Danke an den User kontra und an CB.
Plugin deaktiviert. Oracle ist ein Sauhaufen.

 

[roker002]

hab seit mehr als 2 jahren kein Java auf dem Rechner.... es ist einfach nicht zu gebrauchen.

Wegen der Lücke... vielleicht hat Oracle diese Lücke selbst eingebaut... wer weiß eine Verschwörung seitens USA ist nicht auszuschließen.

 

[Daaron]

Javascript und Java-PlugIns haben keine Sicherheitslücken ... es sind welche.

Aha... und welche Sicherheitslücken hat JavaScript? Oder sollte ich eher sagen: ECMAScript? Nenn mir 3.

Ich benutze zwar auch ab und zu mal Programme, die java benötigen um zu laufen, aber die werden bei mir demnächst ganz bestimmt nur noch offline laufen (ohne LAN-kabel). Mache ich sowieso fast immer so.

Aha... und das bringt was? Das Java BROWSER PLUGIN hat ne Lücke, nicht die Sprache an sich. Wenn Anwendungen, die auf Java basieren, ebenfalls Lücken haben, dann ist daran nicht Oracle und auch nicht die Sprache Schuld. Desktop-Anwendungen haben quasi immer Lücken, egal in welcher Sprache sie geschrieben werden.

Also bleibt mir als FF Nutzer nur eins: NoScript, und ganz genau aussuchen, welche Scripte für die Funktionalität welcher Site wirklich notwendig sind. Es sind oft nicht viele, und dafür nur Java an/aus ist einfach zu viel. Lieber Java aus, und für einzelne Seiten aktivieren. ging schon vor Jahren ganz einfach.

Was hat NoScript mit dem Java Browser Plugin zu tun, außer dass NoScript eh alles und jeden hirnlos blockt?
Du könntest das Java Plugin komplett und permanent deaktivieren und NoScript deinstallieren. Du wärst genau so sicher.

Sorry, aber sowas darf und kann doch wohl nicht wahr sein! Von Bastlerbuden könnte man das erwarten, aber von Oracle!? Naja, auf der anderen Seite, vielleicht erst recht von solch großen Firmen...

Oracle haben den Teil ihres Portfolios, den sie von Sun übernommen haben, die ganze Zeit schon stiefmütterlich behandelt.
Das fing an mit OpenOffice.org, das SO räudig behandelt wurde, dass sich die Community gezwungen sah, LibreOffice zu schaffen. Weiter gehts mit MySQL. Auch hier tut sich so wenig, dass die Community inzwischen mit MariaDB eine weit bessere Lösung im Portfolio hat.... Und Oracle Java? Tja, dann lieber OpenJDK...

Das einzige wo das überhaupt noch Sinn macht sind Browsergames
und da gibt es mit HTML5 und WebGL zum Glück auch bald Abhilfe.

Also ich weiß nicht, wann ich mal ein Browser-Game auf Java-Basis gesehen habe. Eigentlich kann ich mich an kein einziges erinnern. Die guten älteren Games basieren alle auf Flash. Die neue Generation versucht sich leidlich an HTML5, nur fehlt da noch verdammt viel Browsersupport und eine ganze Latte hinsichtlich einheitlicher Spezifikationen.

Ist Java 8 Dev auch betroffen?

In die Richtung wurde nichts verlautbart, aber: Im Zweifel lautet die Antwort JA!
Wie üblich gilt: Besser man hat als man hätte. -> Egal welche Java-Version man für Desktop-Anwendungen nutzt (da ist ja nix von der Lücke betroffen), Browser-Plugins gehören sich abgeschaltet.

 

[Flo0]

Ich danke Tumbleweed für den Link aus der Signatur! Muss/Will bevor das Studium anfängt noch Java "lernen". Das bisschen .Net und Powershell aus der Berufsschule is für die Katz ^^.

Nur gut das Java bei mir nur ausserhalb das Browsers läuft.

 

[Der-Orden-Xar]

Aha... und welche Sicherheitslücken hat JavaScript? Oder sollte ich eher sagen: ECMAScript? Nenn mir 3.

Noch nie von missbräuchlich genutzt JS gehört?
Egal, ob Lücke in JS direkt oder nicht, Problem bleibt Problem.

Du könntest das Java Plugin komplett und permanent deaktivieren und NoScript deinstallieren. Du wärst genau so sicher.

Nein wär er nicht, s. 2 Zeilen weiter oben.

 

[Daaron]

Ein sicherer Browser (also: kein uralter IE, am besten gar kein IE), ein aktuelles OS (vorzugsweise keins von MS), ein aktueller Virenscanner und natürlich ne aktive Brain.exe sind weitaus besser als NoScript-Orgien.

Wie leicht man NoScript austricksen kann hab ich ja schon mehr als genug beschrieben.

Und ja, man kann JS missbrauchen... aber nur, wenn der Browser es mit macht. Gute Browser mit ner anständigen Sandbox-Lösung etc. machen da aber nicht mit.

 

[Smagjus]

Welchen Browser würdest du denn diesbezüglich empfehlen? IE, FF und Chrome kannst du ja nicht meinen oder?

NoScript habe ich mittlerweile auch runtergeschmissen. Ich verwende regelmäßig Websiten auf denen knapp 100 Scripts geblockt werden. Es ist unmöglich, die Scripte zu finden, die man braucht, um die Website nutzen zu können.

Jedenfalls habe ich mir einen von zwei Viren bisher durch JavaScript geholt.

 

[Grundkurs]

Inwiefern?
Die Zeiten in denen C#/.NET Windows only waren sind auch rum. Mono ist mittlerweile völlig brauchbar.

Würde ich so nicht unterschreiben. Also es läuft zwar, aber um einiges langsamer als das normale C#/.Net.

 

[Tamron]

Apple hat doch schon länger das Java Plugin im Safari deaktiviert/entfernt. Nicht erst mit dieser erneuten Sicherheitslücke.

 

[purzelbär]

Welchen Browser würdest du denn diesbezüglich empfehlen? IE, FF und Chrome kannst du ja nicht meinen oder?

Guckst du hier: http://www.heise.de/security/meldung/Mozilla-und-Apple-schalten-das-Java-Plug-in-ab-1782640.html;) Und wenn du das machst: wird neben dem FF Plugin auch das Plugin im IE deaktiviert(bei mir unter XP der IE8)und die Java Sicherheitslücke die bösartige Exploits ausnutzen könnten sind in den Browsern nicht mehr da.

 

[hallo7]

Würde ich so nicht unterschreiben. Also es läuft zwar, aber um einiges langsamer als das normale C#/.Net.

Das sich dieser Mythos immer noch hält ist eigentlich Wahnsinn... Ebenso, dass viele Programmierer die es eigentlich besser wissen müssen es auch noch glauben und verbreiten.
Java ist je nach Anwendung nur ungleich langsamer oder aber sogar schneller als C++. Mit Multicore Systemen wird Java sogar noch schneller. Und der beste und schnellste Teil von Java ist der Garbage Collecter, auch wenn genau das viele nicht so sehen.
Für Anwender mag Java langsam erscheinen, da es beim starten eine Sekunde braucht um sich selbst zu kompilieren, aber das starten eines Programmes sagt nichts über die Performance aus. Wenn beide Programme gleich gut programmiert wurden gibt es keinen merkbaren Unterschied. Spezialanwendungen gibt es auf beiden Seiten in dem jeweils die eine Sprache Vorteile hat.

So und für alle die mir nicht glauben wollen ist hier ein interessanter Artikel mit wirklichen Vergleichen und mehreren Referenzen. Lest ihn ganz durch und bleibt nicht beim ersten Punkt stehen, in dem C schneller als Java ist.

Java vs C/C++ (Englisch)

PS: Ja das ist schon etwas älter, die Prinzipen stimmen aber immer noch

PPS: Ok du hast C# geschrieben, hab ich überlesen, nach all den Kommentaren über das langsame Java. Hab den letzten Post mit langsamer zitiert und das war leider deiner^^
C# und Java schenken sich nicht viel, da sie fast auf den gleichen Prinzipien basieren. Da kommts meiner Meinung nach auf nen guten Kompiler an^^

 

[thebiz]

java war schon immer unsicher

 

[Rexus]

Adobe Flashplayer ist auch betroffen, also schnell updaten.

Welche Version genau?

 

[Yuuri]

Noch nie von missbräuchlich genutzt JS gehört?

Welche "Lücke" hat denn JavaScript? Alle "Lücken" sind nur fehlerhafte Implementationen im Programm selbst. Eine Programmiersprache, kann per se gar keine "Lücke" haben.

Ich kann auch in C++ "missbräuchliche" Sachen erstellen. Hat C++ jetzt auch eine "Lücke"?

 

[Grundkurs]

@hallo7: Ja wie du schon festgestellt hast, hab nie behauptet, C# sei generell langsam, sondern nur, dass C# auf dem Mono-Framework langsam ist.
Hier ausführliche Benchmarks zum Thema die das untermauern:
http://www.codeproject.com/Articles/212856/Head-to-head-benchmark-Csharp-vs-NET
Ich hab mal ein XNA-Projekt auf MonoGame portiert, war plötzlich am ruckeln. Trotz 2D-Grafik. Nicht sehr schön.

 

[Daaron]

Welche "Lücke" hat denn JavaScript? Alle "Lücken" sind nur fehlerhafte Implementationen im Programm selbst. Eine Programmiersprache, kann per se gar keine "Lücke" haben.

Eben, genauso wie "Java" nicht plötzlich hochgradig unsicher ist und man alle Java-basierten Anwendungen von der Festplatte werfen muss. Lediglich das Java Browser Plugin ist ein permanentes Risiko.

Ich kann auch in C++ "missbräuchliche" Sachen erstellen. Hat C++ jetzt auch eine "Lücke"?

Na stell dir erstmal vor, was für Schindluder du mit Assembler-Code treiben könntest... Oder selbst so einfache Dinge wie ein Konsolen-Befehl... Ich sag dazu nur

 :(){ :|:&};: