- Windows 11
- Az iPadOS-re írt appokra is díjat vet ki az Apple
- Sokat fogyaszt az AI, egyre több az adatközpont, kell az atomenergia
- Ubuntu Linux
- A pápa egyre jobban tart a romlott AI veszélyeitől
- Letartóztatták a bitcoin-Jézust
- Aliexpress tapasztalatok
- Facebook és Messenger
- Súlyos adatvédelmi botrányba kerülhet a ChatGPT az EU-ban
- Hálózatokról alaposan
Új hozzászólás Aktív témák
-
floatr
veterán
Azért elég meredek, ha egy szakember ilyen kijelentést tesz. Nem a java nyelvről van szó, hanem a böngésző pluginről. Még kollégáktól is hallok néha olyan cifrákat, hogy szerver runtime-ot kéne frissíteni a biztonsági hibák miatt...
-
floatr
veterán
Amire én gondolok, az a java szerver pozicionálása. Általában úgy használják, hogy egy frontend szerver mögött van eldugva az alkalmazásszerver - kívülről védett. Belülről értelemszerűen megbízható rendszerek érhetik el - hacsak a belső rendszer nem átjáróház, megint csak elég sovány a dolog. Ha létezik OS szintű privilégiumszint eszkaláció, akkor egy helyi felhasználó támadhatja a rendszert - eltekintve a java hosting szerverektől szintén ritka, hogy problémás júzerek támadnának. Meg ha támadnának is, akkor erre adódhat jóval több lehetőségük, mint a JRE. De még várom azt az OS szintű PE exploitot, amivel ezt meg lehet(ett) tenni.
Amit a cikkben elemezgetnek, az a sandboxról szól. Elég gáz ez is, de JRE/plugin probléma, nem a "nyelvé".
-
floatr
veterán
Ezek szerint a "ha" kimaradt. Csak azért kötöm az ebet a karóhoz, mert nem konkrétumokról beszélsz, hanem csak általában lehetőségről. A file upload már valami, de még mindig nem az, amitől a java-nak önmagában pusztulni kéne (hibás az apache, pusztuljon c/c++). Ettől sokkal komolyabb exploitok voltak az utóbbi időkben openssl-re, x11-re, apache httpd-re meg kitudja még mi a rákra - local meg remote is. Ráadásul egy rakat ilyen sokáig még akkor is foltozatlan maradt, amikor kiderült a hiba, ezek szerint akkor mindezeknek pusztulni a kéne
A plugines dolgokkal én sem vagyok kibékülve, de a jws alkalmazásokkal (pl. abev) már hadd ne legyen probléma, ha a user dönti el, hogy akarja-e használni. A szerver dolgait illetően meg még mindig nem értünk egyet. A runtime hibák nagy része a sandbox-szal kapcsolatos. Amit linkeltél, az is. Ettől függetlenül nekem sem tetszik, ahogy az oracle kezeli a dolgokat.
De akkor meg rettegjetek, mert a bankok vakmerően használják
-
floatr
veterán
Egy kicsit félreértesz "minket". Alapvetően én is frissítéspárti vagyok, csak láthatóan nem érted, vagy nem akarod érteni a problémát. Vagy egyszerűen nem ismered.
Java esetében hatványozottan igaz az, hogy ami nem romlott el, azt nem akard megjavítani. Az utóbbi években ez a kevésbé figyelmes rendszergazdáknál is lejöhetett, hogy a Java update nem patch-elés. Sok dolog változik egy új release-ben, és odavághat olyan technológiáknak, amik egy nappal korábban még tökéletesen működtek. A JRE 1.7.0 apache komponenseket vágott gallyra. A tavaszi biztonsági frissítések miatt az appletek és a JWS alkalmazások voltak szopóágon. A legutóbbi frissítés (j8u11, j7u65) a JRebel-t és a Groovy-t nyírta ki, szintén desktop oldali biztonsági kötélhúzás okán.
Szóval hacsak nincsen valami konkrét és komoly exploit a szerver oldalon, egy épelméjű support nem fogja kockáztatni a vállalat rendszerének teljesen ufó lerohadását egy nagyon korlátozott elérhetőségű alkalmazásszerver vélt sérülékenységének feltételezett javítása érdekében.
(#31) VaniliásRönk véletlenül azt hitte, hogy a dalvik is java runtime A szerver sérülékenységét, meg most próbálják igazolni helyi levezetéssel. A szerver-oldali dolgokról még a komolyabb szagemberek is annyit mondanak csak, hogy untrusted 3rd party komponensek, amiben nyilván bele lehet futni, ha az ember azt sem tudja, mit épít az alkalmazásba. Volt már erre példa (mármint JAR-okat feleslegesen halmozó emberek) de nem voltak hosszú életűek komolyabb projektekben. Szóval megint egy olyan dolgot erőltetnek itt páran, amiről láthatóan nem tudnak többet mondani, mint az általános szövegek.
[ Szerkesztve ]
-
floatr
veterán
Akkor gondolom az kimaradt, hogy nem a teljes jelentés volt a beszélgetés tárgya, hanem a "java nyelv" sebezhetősége, amiről végül kiderült, hogy inkább a hotspot runtimera és a pluginre gondoltak a szakemberek, csak véletlenül eltévesztették.
A másik része meg megint csak más tészta -- kinek mi a vesszőparipája -- hogy a sebezhetőségek tekintetében a szerverek elég kis hangsúlyt kaptak "valamiért". Így akkor maradtak a mobilok, meg a desktop, amiből még egyelőre az utóbbi van többségben.
Új hozzászólás Aktív témák
- Helldivers 2 (PC, PS5)
- Motorola Edge 30 Neo - wake up, Jr...
- Windows 11
- Házi barkács, gányolás, tákolás, megdöbbentő gépek!
- Politika
- Háromféle processzor is része lesz a Core 200 sorozatnak
- sziku69: Fűzzük össze a szavakat :)
- PlayStation 5
- Amazon Fire TV stick/box
- HiFi műszaki szemmel - sztereó hangrendszerek
- További aktív témák...
- ÚJ Dell Vostro 3520 - 15.6" IPS 120Hz / i5-1235U / 8-16Gb DDR4 / 512Gb / HUN backlit / 3 ÉV GAR.
- Nikon D7000, Tamron 18-270mm, Sigma 150-500mm
- KÜLÖNLEGES AJÁNLAT 21,5 iMac 2013 Late i5, 16GB RAM, 1,25TB Fusion Drive
- LG OLED55C19LA 1 ÉV GYÁRI GARANCIA
- Újszerű (AB) Macbook Pro 14" M1 Pro 512/ 16GB USA
Állásajánlatok
Cég: Promenade Publishing House Kft.
Város: Budapest
Cég: Ozeki Kft.
Város: Debrecen