Oracle: Java-lek wordt 'binnenkort' gerepareerd
Oracle heeft te kennen gegeven dat het recent ontdekte beveiligingsprobleem in Java binnenkort wordt gerepareerd. Een eventuele datum voor de release kon de softwaremaker niet geven. Wel is bekend dat de eerstvolgende patchronde in februari is.
Dat zei Oracle in een statement waar Reuters over bericht. Alhoewel de softwaremaker geen verdere details kwijtwilde over de releasedatum, is het mogelijk dat de fix met de patchronde in februari wordt uitgebracht: eerder was de vraag of Oracle nog op tijd een oplossing kon vinden, maar omdat de softwarebouwer stelt binnenkort het lek te zullen repareren, lijkt dat te zijn gelukt. Daarnaast maakte het bedrijf bekend dat het lek zich alleen in Java 7 bevindt. Eerder werd gesuggereerd dat alle versies van het platform vatbaar zijn.
Het lek in Java werd kortgeleden ontdekt, waarbij ook duidelijk werd dat er inmiddels al exploitkits bestaan waarmee het lek kan worden misbruikt. Het stelt kwaadwillenden in staat om ongemerkt schadelijke software op een computer te installeren, waardoor gebruikers dus vatbaar zijn voor virussen en andere malware. Apple nam al maatregelen door de Java-plugin voor de browser op OS X te blokkeren. De Amerikaanse overheidsinstantie US-Cert raadt gebruikers aan om Java niet langer te gebruiken.
Reacties (50)
Oracle heeft nu update 11 uitgebracht. Ik heb update 10 eerst gedeinstalleerd en daarna 11 en zag dat bij update 11 de ondersteuning voor Java in browsers is uitgeschakeld (ik had dit in 10 uitgeschakeld).
Je dient het zelf weer in te schakelen, als je dat wilt. De update schakelt het dus niet zelf in, wat positief is omdat je er dan bewust van bent als je het weer hebt ingeschakeld.
Java per direct verwijderd. Deze zal nooit meer terug keren net als Adobe Reader. Ik vindt het te gek voor woorden dat ik als een paranoïde man alles beveilig. Maar door een bedrijf die het verzaakt zijn software in orde te krijgen, mij kwetsbaar maakt.
[Reactie gewijzigd door AmazighQ op zondag 13 januari 2013 22:50]
Je had ook je UTP kabel uit je pc kunnen trekken, was je ook niet vatbaar meer geweest.
Ga je nu ook je OS verwijderen?
Zitten ws ook nog ongepatchte bugs in alleen heb je er geen weet van.
Dit krijgt nou net effe aandacht en hup gelijk Java eraf? Alleen ff de browser plugin disablen was genoeg geweest hoor. Enfin er is inmiddels een patch uit dus stop panicing
Zitten ws ook nog ongepatchte bugs in alleen heb je er geen weet van.
Dit krijgt nou net effe aandacht en hup gelijk Java eraf? Alleen ff de browser plugin disablen was genoeg geweest hoor. Enfin er is inmiddels een patch uit dus stop panicing
Offline download:
http://www.oracle.com/tec...e7-downloads-1880261.html
http://www.oracle.com/tec...e7-downloads-1880261.html
[Reactie gewijzigd door lebans op zondag 13 januari 2013 21:59]
Er is een update uitgebracht, Versie 7 Update 11. Zie: http://www.oracle.com/tec...vase/downloads/index.html
Releasenotes: http://www.oracle.com/tec...u11-relnotes-1896856.html
Security Fixes: http://www.oracle.com/tec...ve-2013-0422-1896849.html
Releasenotes: http://www.oracle.com/tec...u11-relnotes-1896856.html
Security Fixes: http://www.oracle.com/tec...ve-2013-0422-1896849.html
[Reactie gewijzigd door alm op zondag 13 januari 2013 21:41]
Waarschijnlijk gaat het gewoon over deze tweet. Oracle wilde er nog wel een datum bijzetten, maar dat paste niet meer binnen de 140 karakters 
Ga je dan bij de volgende JavaScript exploit in een willekeurige browser ook al je intranet sites herbouwen?
Het gaat om het trieste uitblijven van een reactie van Oracle. En het gaat er juist om dat dit cross-browser én cross-OS is, en nog steeds niet reden genoeg om direct in te grijpen of in ieder geval te reageren (iets wat bij de grote browsermakers in de regel wel gebeurt, zelfs ook bij Microsoft wat ook een groot bedrijf is).
Ik vind het trouwens nogal onzinnig dat mijn reactie -1 wordt gemod, want zelfs al vind je hem niet terecht: ik denk niet dat wij de enigen zijn die er zo over denken... en dat maakt hem wel relevant.
Ik vind het trouwens nogal onzinnig dat mijn reactie -1 wordt gemod, want zelfs al vind je hem niet terecht: ik denk niet dat wij de enigen zijn die er zo over denken... en dat maakt hem wel relevant.
Nu snap ik ineens waarom Apple nooit verder is gegaan met ZFS. Als Oracle zo snel op al hun bugs en/of lekken gaat reageren, zullen veel clienten gaan afhaken. Sterker nog, dan zal Java vrij snel uitsterven (missschien is dat wel hun doel )
)[Reactie gewijzigd door Trunksmd op zondag 13 januari 2013 15:48]
Dat is wel een extreem vergezochte conclusie en slaat de plank redelijk mis naar mijn idee.Nu snap ik ineens waarom Apple nooit verder is gegaan met ZFS. Als Oracle zo snel op al hun bugs en/of lekken gaat reagere
Toen Apple ZFS liet vallen was Sun nog helemaal zelfstandig en geen onderdeel van Oracle. Tevens was er in die tijd helemaal geen indicatie dat Sun overgenomen zou worden door Oracle. Als ze al overgenomen gingen worden dachten de meeste mensen (inclusief mijzelf) dat het door IBM zou gebeuren.
De echte rede waarom Apple ZFS liet vallen is (voor zover ik weet) nooit boven tafel gekomen. De meest waarschijnlijke theorie is dat ze bang werden voor de patent rechtzaken welke toen om ZFS heen hingen (NetApp was de boosdoener). Ironisch genoeg zijn nu ZFS van Oracle is deze rechtzaken allemaal opgelost / geschikt.
Ik zou nu zo langzamerhand wel eens duidelijkheid willen hebben.
Zit deze bug nu:
In de Java runtime
In de Java browser plugin
In allebei
??
Tweakers heeft het steed over een 'Java lek', maar het maakt nogal wat uit of alleen de browser plugin een lek heeft of echt de Java runtime.
Verder stelt Tweakers steeds dat de Amerikaanse overheid gebruikers aanraadt Java niet langer te gebruiken, maar ook daar vraag ik me af of er soms wat nuance verloren gegaan is in de vertaling. Volgens andere bronnen raadt men alleen aan de Java browser plugin uit te schakelen of te de-installeren.
Het verschil is nogal belangrijk. In het ene geval zijn namelijk alleen applets gevaarlijk en zou een simpele uninstall van de plugin voldoen. In het andere geval zouden *alle* Java applicaties potentieel gevaarlijk zijn...
Overigens zou in het laatste geval er nog steeds niet zoveel verschil zijn met normale applicaties, want ook die kun je maar beter niet zomaar klakkeloos uitvoeren.
Al met al veel berichtgeving van Tweakers over dit onderwerp, maar weinig duidelijkheid. Ik kan natuurlijk zelf alle bronnen gaan lezen, maar dat is toch één van de dingen waarvoor ik graag op Tweakers terug zou vallen. Dus, redactie, als jullie dit punt zouden kunnen verduidelijken... Graag!
Zit deze bug nu:
In de Java runtime
In de Java browser plugin
In allebei
??
Tweakers heeft het steed over een 'Java lek', maar het maakt nogal wat uit of alleen de browser plugin een lek heeft of echt de Java runtime.
Verder stelt Tweakers steeds dat de Amerikaanse overheid gebruikers aanraadt Java niet langer te gebruiken, maar ook daar vraag ik me af of er soms wat nuance verloren gegaan is in de vertaling. Volgens andere bronnen raadt men alleen aan de Java browser plugin uit te schakelen of te de-installeren.
Het verschil is nogal belangrijk. In het ene geval zijn namelijk alleen applets gevaarlijk en zou een simpele uninstall van de plugin voldoen. In het andere geval zouden *alle* Java applicaties potentieel gevaarlijk zijn...
Overigens zou in het laatste geval er nog steeds niet zoveel verschil zijn met normale applicaties, want ook die kun je maar beter niet zomaar klakkeloos uitvoeren.
Al met al veel berichtgeving van Tweakers over dit onderwerp, maar weinig duidelijkheid. Ik kan natuurlijk zelf alle bronnen gaan lezen, maar dat is toch één van de dingen waarvoor ik graag op Tweakers terug zou vallen. Dus, redactie, als jullie dit punt zouden kunnen verduidelijken... Graag!
De bug zit in de Java plugin die door je webbrowser wordt gebruikt en dan ook nog eens alleen in versie 7. Heb je een andere versie dan heb je dus geen last van dit lek. Lokaal kun je Java ook nog draaien voor applicaties als Freemind. De lokale Java versie heeft dit lek niet ongeacht welke versie die moge zijn.
Dit artikel en het vorige artikel van Tweakers.net is totaal onjuist als het over de Amerikaanse overheid gaat. Het heet niet Cert maar US-CERT welke vergelijkbaar is met wat wij hier in Nederland kennen als GOVCERT/waarschuwingsdienst.nl (tegenwoordig wellicht beter bekend van de organisatie waar ze nu onderdeel van uit maken: Nationaal Cyber Security Centrum: NCSC). Beiden zijn zogenaamde CERT: Computer Emergency Response Team. De term CERT is inmiddels door copyright beschermd (wtf?!). Daardoor zie je tegenwoordig ook de term CSIRT. Het is een andere naam voor hetzelfde beestje. Menig grote organisatie heeft wel een CERT. Het idee is dat dit team de security van de eigen computersystemen bewaakt. Bij organisaties als US-CERT en NCSC/waarschuwingsdienst.nl geldt dit voor de gehele bevolking omdat het overheidsinstanties zijn. Zij beoordelen de diverse risico's en bepalen wat te doen. In dit geval waarschuwen ze mensen voor dit Java lek en geeft men als advies om de plugin in de webbrowser uit te schakelen.
Een aantal browserfabrikanten hebben het voortouw genomen. Inmiddels zijn Chrome, Firefox en Safari (in dit geval is het eigenlijk OS X die blokkeert waardoor Safari ook niks kan) browsers die standaarde de Java plugin blokkeren. Mocht je een andere webbrowser hebben dan is het dus wel aan te raden om te kijken wat zij doen. Wanneer ze niks doen zul je dus zelf de plugin moeten uitschakelen of (tijdelijk) overstappen naar een webbrowser die hem uitgeschakeld heeft.
Anyway, US-CERT heeft het gehele verhaal kort maar krachtig in een bulletin online gezet: Alert (TA13-010A): Oracle Java 7 Security Manager Bypass Vulnerability. Indien gewenst kun je je ook laten inschrijven bij hun voor dit soort bulletins. Je krijgt ze dan per mail. Dit kun je ook bij waarschuwingsdienst.nl. Zij hebben over dit lek de volgende informatie online staan: WD-2013-007 Kwetsbaarheid in Java Browser Plugin ontdekt.
Dit artikel en het vorige artikel van Tweakers.net is totaal onjuist als het over de Amerikaanse overheid gaat. Het heet niet Cert maar US-CERT welke vergelijkbaar is met wat wij hier in Nederland kennen als GOVCERT/waarschuwingsdienst.nl (tegenwoordig wellicht beter bekend van de organisatie waar ze nu onderdeel van uit maken: Nationaal Cyber Security Centrum: NCSC). Beiden zijn zogenaamde CERT: Computer Emergency Response Team. De term CERT is inmiddels door copyright beschermd (wtf?!). Daardoor zie je tegenwoordig ook de term CSIRT. Het is een andere naam voor hetzelfde beestje. Menig grote organisatie heeft wel een CERT. Het idee is dat dit team de security van de eigen computersystemen bewaakt. Bij organisaties als US-CERT en NCSC/waarschuwingsdienst.nl geldt dit voor de gehele bevolking omdat het overheidsinstanties zijn. Zij beoordelen de diverse risico's en bepalen wat te doen. In dit geval waarschuwen ze mensen voor dit Java lek en geeft men als advies om de plugin in de webbrowser uit te schakelen.
Een aantal browserfabrikanten hebben het voortouw genomen. Inmiddels zijn Chrome, Firefox en Safari (in dit geval is het eigenlijk OS X die blokkeert waardoor Safari ook niks kan) browsers die standaarde de Java plugin blokkeren. Mocht je een andere webbrowser hebben dan is het dus wel aan te raden om te kijken wat zij doen. Wanneer ze niks doen zul je dus zelf de plugin moeten uitschakelen of (tijdelijk) overstappen naar een webbrowser die hem uitgeschakeld heeft.
Anyway, US-CERT heeft het gehele verhaal kort maar krachtig in een bulletin online gezet: Alert (TA13-010A): Oracle Java 7 Security Manager Bypass Vulnerability. Indien gewenst kun je je ook laten inschrijven bij hun voor dit soort bulletins. Je krijgt ze dan per mail. Dit kun je ook bij waarschuwingsdienst.nl. Zij hebben over dit lek de volgende informatie online staan: WD-2013-007 Kwetsbaarheid in Java Browser Plugin ontdekt.
Ik mag je reactie helaas niet modereren omdat het een reactie op een post van mij is, maar dit is de duidelijkheid die ik zocht! +3 wat mij betreft!
Ik weet niet hoe het zit, maar voor je misbruik kan maken van een gat moet je er eerst bij komen. De beveiliging van mijn koelkast is bijzonder slecht, maar zolang je niet door mijn voordeur kan is dat geen probleem.Ik zou nu zo langzamerhand wel eens duidelijkheid willen hebben.
Zit deze bug nu:
In de Java runtime
In de Java browser plugin
In allebei
De java browser plugin is zelf een soort voordeur. Als daar een probleem in zit dan is het vrij eenvoudig om er bij te komen en er misbruik van te maken. Als een willekeurige java applicatie een bug heeft hoeft dat geen probleem te zijn als die applicatie niks met het netwerk doet.
Nee, maar als er een bug in de Java runtime zelf zou zitten (en die indruk wekt Tweakers steeds) dan zou dat vergelijkbaar zijn met een bug in je OS; elke applicatie die er op draait zou erdoor geraakt worden.
Gecombineerd met het feit dat applets vrij weinig gebruikt worden maakt dit nogal een verschil. In het ene geval zet je de Java browser plugin uit en ben je klaar. In het andere geval moet je je zorgen maken om elke Java applicatie die je draait en zeker op (web) servers wordt Java vrij veel gebruikt. Zijn er nu dus duizenden of miljoenen websites kwetsbaar die Java gebruiken voor de implementatie van de backend, of is dit puur een client probleem?
Gecombineerd met het feit dat applets vrij weinig gebruikt worden maakt dit nogal een verschil. In het ene geval zet je de Java browser plugin uit en ben je klaar. In het andere geval moet je je zorgen maken om elke Java applicatie die je draait en zeker op (web) servers wordt Java vrij veel gebruikt. Zijn er nu dus duizenden of miljoenen websites kwetsbaar die Java gebruiken voor de implementatie van de backend, of is dit puur een client probleem?
Dit lek (en de meeste vorige lekken) zitten allemaal in de browser plug-in. Gewoon de browser plug-in uitzetten. Java op je desktop, server of mobiel heeft geen last van dit issue.
Als Java specialist baal ik ontzettend van de Java implementatie in de browser: dit is altijd ondermaats geweest. Ik denk dat Oracle gewoon een keer moet stoppen met Java in de browser: ze hebben het nu al drie keer opnieuw gedaan en het is nog steeds onvoldoende. Voor de reputatie van Java is dat beter: het platform krijgt al zo lang het bestaat slechte pers door de brakke browsersupport, terwijl Java op andere terreinen enorm succesvol is.
Als Java specialist baal ik ontzettend van de Java implementatie in de browser: dit is altijd ondermaats geweest. Ik denk dat Oracle gewoon een keer moet stoppen met Java in de browser: ze hebben het nu al drie keer opnieuw gedaan en het is nog steeds onvoldoende. Voor de reputatie van Java is dat beter: het platform krijgt al zo lang het bestaat slechte pers door de brakke browsersupport, terwijl Java op andere terreinen enorm succesvol is.
Probleem is dat bij Oracle's klanten de browser plugin behoorlijk populair is in enterprise en/of intranet toepassingen. Het is meer de consumenten markt die Java browser plugins niet nodig heeft.
Als Oracle zomaar ongevraagd de browser plugin uit Java haalt, raken er heel veel bedrijven (Oracle klanten!) serieus over de zeik.
Als Oracle zomaar ongevraagd de browser plugin uit Java haalt, raken er heel veel bedrijven (Oracle klanten!) serieus over de zeik.
[Reactie gewijzigd door Dreamvoid op zondag 13 januari 2013 21:59]
Uit nieuws: Nieuw beveiligingsprobleem Java wordt mogelijk al misbruikt:
De oplossing staat daar ook gemeld:
EDIT: en zoals je zelf trouwens ook al zegt, als het Java op je systeem was dan was je sowieso al de Sjaak: je hebt het al 'geinstalleerd' en je voert het op je systeem uit. Dan heeft de VM al genoeg rechten om aanpassingen te maken dus is het lek niet nodig: dat zou juist een omweg zijn.
Overgiens ben ik het wel met je eens, het lijkt eerder op een vertaald/gekopieerd bericht dan dat ze er zelf wat toevoegingen aan gedaan hebben.
Dus even kijken hoe Alien Vault het heeft gedaan: http://labs.alienvault.co...ew-year-new-java-zeroday/Beveiligingsbedrijf Alien Vault heeft het beveiligingsprobleem met de informatie die Kafeine beschikbaar heeft gesteld nu weten te reproduceren. Ze wisten eigen code uit te voeren met behulp van het lek, op een volledig gepatchte Windows-installatie met Java.
De oplossing staat daar ook gemeld:
Was dat een antwoord?Right now the only way to protect your machine against this exploit is disabling the Java browser plugin. Let’s see how long does it take for Oracle to release a patch.
EDIT: en zoals je zelf trouwens ook al zegt, als het Java op je systeem was dan was je sowieso al de Sjaak: je hebt het al 'geinstalleerd' en je voert het op je systeem uit. Dan heeft de VM al genoeg rechten om aanpassingen te maken dus is het lek niet nodig: dat zou juist een omweg zijn.
Overgiens ben ik het wel met je eens, het lijkt eerder op een vertaald/gekopieerd bericht dan dat ze er zelf wat toevoegingen aan gedaan hebben.
[Reactie gewijzigd door Cheap Apps op zondag 13 januari 2013 14:09]
Dit is ook wat ik eerst dacht... echter volgens Reuters stelt Oracle dat het lek alleen in Java 7 zit.... Bedoelt men daar dan mee alleen de browser plugin die bij Java 7 wordt geleverd?
Verder zou ik me nog voor kunnen stellen dat als het een lek in de runtime zou zijn, dat het dan bijvoorbeeld in de sockets implementatie zou kunnen zitten, zodat ook vertrouwde Java applicaties die een server draaien gevaarlijk zouden kunnen zijn omdat die het lek exploiteerbaar zouden kunnen maken.
Jammer dat Oracle niet wat meer duidelijkheid geeft. Geen datum voor de fix en ook geen instructies wat je moet doen om Java veilig te kunnen blijven gebruiken... Eigenlijk alleen de mededeling dat ze het 'binnenkort' gaan fixen. Tja dat lijkt me nogal wiedes dat je een kritiek veiligheidslek niet ongefixed laat....
Verder zou ik me nog voor kunnen stellen dat als het een lek in de runtime zou zijn, dat het dan bijvoorbeeld in de sockets implementatie zou kunnen zitten, zodat ook vertrouwde Java applicaties die een server draaien gevaarlijk zouden kunnen zijn omdat die het lek exploiteerbaar zouden kunnen maken.
Jammer dat Oracle niet wat meer duidelijkheid geeft. Geen datum voor de fix en ook geen instructies wat je moet doen om Java veilig te kunnen blijven gebruiken... Eigenlijk alleen de mededeling dat ze het 'binnenkort' gaan fixen. Tja dat lijkt me nogal wiedes dat je een kritiek veiligheidslek niet ongefixed laat....
De browser plugin maakt het mogelijk om een java applet te draaien in de browser. Vergeet niet dat er een verschil zit tussen java en javascript. Java is een plugin zoals bijvoorbeeld een PDF reader. De basis tussen de plugin en de stand-alone software is identiek. Als de software kwetsbaar is, is de kans het grootst dat het zowel in de plugin als in de stand alone runtime zit.
Dat is maar een klein onderdeel van Java. Java is veel meer dan alleen een browser plugin. Java wordt zelfs veel meer gebruikt voor server-side software. Dit is precies de verwarring waar mijn vraag over gaat: Zit dit lek nu alleen in het browser deel van Java of in heel Java.Java is een plugin
EDIT: Ik snap dat bij de Java plugin ook de Java runtime zit, maar zelf verwacht ik eigenlijk dat het lek in de plugin zelf zit. Maar goed ik hoop dus dat iemand hier zekerheid over kan geven, want het verschil is nogal belangrijk als je het risico en de reikwijdte van het lek wilt kunnen inschatten.
[Reactie gewijzigd door OddesE op zondag 13 januari 2013 15:18]
Gewoon java mag al executables op je systeem starten... het probleem is dat applets dat recht normaal gesproken niet hebben (sandbox), maar door dit lek dat recht toch kunnen verkrijgen.
Op dit item kan niet meer gereageerd worden.
Onderwerpen
Populair: Asus Samsung Websites en communities Mobiele telefoons Laptops Sony Games Microsoft Consoles Microsoft Xbox One
© 1998 - 2013 Tweakers.net B.V. Contact Over Tweakers Jouw privacy Algemene voorwaarden Cookies
Tweakers wordt uitgegeven door De Persgroep en wordt gehost door True
