Kritische Sicherheitslücke in Java

[Joyrider]

Muss bisher durchgerutscht sein, hat ja noch keiner was von geschrieben:

Es ist DRINGEND!!! zu empfehlen Java in den Browsern zu deaktivieren, da es eine kritische, nicht behobene Sicherheitslücke gibt. Es ist auch noch nicht bekannt wann Oracle diese schliessen wird.

http://www.golem.de/news/kritische-sich ... 94207.html

[Joyrider]

Es gibt jetzt von Oracle die Java Version 7 Update 7.

Dies soll die Lücke schliessen.

[linkin_park_forever]

Java updated sich in den meisten Fällen eh automatisch im Hintergrund? Danke für den Hinweis.

[Joyrider]

Bei mir nicht. Ich mache generell alle Updates von Hand, hatte es schon mehrmals das z.B. nach einem Update der Adobe Reader nicht mehr lief (weil da der Avira Virenscanner zwischenfunkte).

[Andy_20]

Selbst das Update hat wohl noch eine schwerwiegende Lücke, ich habe dementsprechend Java erstmal deinstalliert.

[Joyrider]

Richtig, mehr dazu hier:
http://www.golem.de/news/java-7-update- ... 94274.html

[linkin_park_forever]

Ist das denn mittlerweile behoben?

[Joyrider]

Jein, gibt eine neue Lücke:
http://www.heise.de/newsticker/meldung/ ... 17595.html

[chillmensch]

Hi Leute,

als Java Entwickler möchte ich bei diesem Thema etwas Klarheit verschaffen, da die diversen Artikel zu dem Thema immer recht dürftig ausfallen. Die in letzter Zeit angeprangerten Sicherheitslücken beziehen sich allesamt auf Webstart und Applets.

Ersteres ermöglicht es, Java Anwendungen - einfach ausgedrückt - direkt aus dem Internet heraus automatisch installieren und starten zu lassen. Bei erneuter Ausführung kann die Anwendung auch automatisch aktualisiert werden. Applets sind i.d.R. grafische Programme, die direkt in die Webseite eingebunden werden.

Applets sind heutzutage eigentlich kein Thema mehr und ich bin bisher noch nie über "massenkompatible" Software gestolpert, die per Webstart vertrieben wird. Bisher habe ich nur Tech-Demos und Spezialanwendungen gesehen, die das machen. Ich selber habe während meiner Studienzeit auch eine Anwendung geschrieben, die mit Webstart realisiert ist.

Normalerweise werden die Anwendungen bei beiden Techniken in einer abgeschotteten Umgebung gestartet. Zugriffe auf das System sollte nur Anwendungen gestattet werden, die entsprechend konfiguriert sind und eine Bestätigung des Benutzers erfordern. Dieser Mechanismus konnte nun aber vermehrt umgangen werden. Warum bei Java nun so ein Aufstand gemacht wird, kann ich nicht verstehen. Man denke nur einmal an Flash, PDF Plugins o.ä. Diese haben viel häufiger Sicherheitslecks in die Browser gerissen.

Meine Empfehlung: deaktiviert Java im Browser, der normale Benutzer braucht es einfach nicht mehr. Aber viele gute Anwendungen benötigen Java (z.B. OpenOffice/LibreOffice, JDownloader und Eclipse, um einige bekannte Vertreter zu nennen).

Ansonsten die Gute alte Regel befolgen: haltet eure Software immer auf dem neusten Stand.

Das war nun mein Wort zum Samstag

[schmidtsmikey]

Danke schön, für die Erklärung. Mir persönlich geht dieses Sicherheitslücken-Gebashe auch auf die Nerven. Das hat sowas von Petzen bei kleinen Kindern. Schau mal, wie unsicher Windows, Java oder Flash ist, die haben schon wieder x Upates. Wenn ich mein Gentoo-Linux anschmeisse, kann ich täglich irgendein Package aktualisieren. Da ist es aber wieder "cool, toll und sicher".

[chillmensch]

Und schon wieder aufgeblähte Artikel gegen Java: http://www.heise.de/open/meldung/Neue-Java-Sicherheitslücke-betrifft-Desktop-Systeme-und-Server-1847982.html

Diesmal betrifft es sowohl Applets als auch unsichere Serveranwendungen. Für den normalen Verbraucher also kein Risiko, sofern Java im Browser deaktiviert ist, zumal Applets seit dem letzten Update nun immer vom Anwender abgesegnet werden müssen.

Habe heute auch noch einmal in der Mittagspause mit meinen Kollegen über dieses Thema geschnackt. Sie sind genauso wie ich der Meinung, dass man Applets eigentlich über den Haufen werfen könnte. JNLP/Webstart ist zwar eine interessante Technik, aber kaum verbreitet, betrifft den normalen Verbraucher also eigentlich auch kaum.

Es ist lediglich meinem Chef ein sinnvolles Einsatzszenario eingefallen: mit einem Java Applet kann man Kartenlesegeräte ansprechen und somit z.B. den digitalen Personalausweis zur Authentifizierung/Authorisierung verwenden. Aber diese Möglichkeit nutzt auch kaum einer.