Oracle: Java-lek wordt 'binnenkort' gerepareerd

Oracle heeft te kennen gegeven dat het recent ontdekte beveiligingsprobleem in Java binnenkort wordt gerepareerd. Een eventuele datum voor de release kon de softwaremaker niet geven. Wel is bekend dat de eerstvolgende patchronde in februari is.

Dat zei Oracle in een statement waar Reuters over bericht. Alhoewel de softwaremaker geen verdere details kwijtwilde over de releasedatum, is het mogelijk dat de fix met de patchronde in februari wordt uitgebracht: eerder was de vraag of Oracle nog op tijd een oplossing kon vinden, maar omdat de softwarebouwer stelt binnenkort het lek te zullen repareren, lijkt dat te zijn gelukt. Daarnaast maakte het bedrijf bekend dat het lek zich alleen in Java 7 bevindt. Eerder werd gesuggereerd dat alle versies van het platform vatbaar zijn.

Het lek in Java werd kortgeleden ontdekt, waarbij ook duidelijk werd dat er inmiddels al exploitkits bestaan waarmee het lek kan worden misbruikt. Het stelt kwaadwillenden in staat om ongemerkt schadelijke software op een computer te installeren, waardoor gebruikers dus vatbaar zijn voor virussen en andere malware. Apple nam al maatregelen door de Java-plugin voor de browser op OS X te blokkeren. De Amerikaanse overheidsinstantie US-Cert raadt gebruikers aan om Java niet langer te gebruiken.

Reacties (50)

Er is een update uitgebracht, Versie 7 Update 11. Zie: http://www.oracle.com/tec...vase/downloads/index.html

Releasenotes: http://www.oracle.com/tec...u11-relnotes-1896856.html

Security Fixes: http://www.oracle.com/tec...ve-2013-0422-1896849.html

[Reactie gewijzigd door alm op 13 januari 2013 21:41]

Ik zou nu zo langzamerhand wel eens duidelijkheid willen hebben.

Zit deze bug nu:

In de Java runtime
In de Java browser plugin
In allebei

??

Tweakers heeft het steed over een 'Java lek', maar het maakt nogal wat uit of alleen de browser plugin een lek heeft of echt de Java runtime.

Verder stelt Tweakers steeds dat de Amerikaanse overheid gebruikers aanraadt Java niet langer te gebruiken, maar ook daar vraag ik me af of er soms wat nuance verloren gegaan is in de vertaling. Volgens andere bronnen raadt men alleen aan de Java browser plugin uit te schakelen of te de-installeren.

Het verschil is nogal belangrijk. In het ene geval zijn namelijk alleen applets gevaarlijk en zou een simpele uninstall van de plugin voldoen. In het andere geval zouden *alle* Java applicaties potentieel gevaarlijk zijn...

Overigens zou in het laatste geval er nog steeds niet zoveel verschil zijn met normale applicaties, want ook die kun je maar beter niet zomaar klakkeloos uitvoeren.

Al met al veel berichtgeving van Tweakers over dit onderwerp, maar weinig duidelijkheid. Ik kan natuurlijk zelf alle bronnen gaan lezen, maar dat is toch één van de dingen waarvoor ik graag op Tweakers terug zou vallen. Dus, redactie, als jullie dit punt zouden kunnen verduidelijken... Graag!

De bug zit in de Java plugin die door je webbrowser wordt gebruikt en dan ook nog eens alleen in versie 7. Heb je een andere versie dan heb je dus geen last van dit lek. Lokaal kun je Java ook nog draaien voor applicaties als Freemind. De lokale Java versie heeft dit lek niet ongeacht welke versie die moge zijn.

Dit artikel en het vorige artikel van Tweakers.net is totaal onjuist als het over de Amerikaanse overheid gaat. Het heet niet Cert maar US-CERT welke vergelijkbaar is met wat wij hier in Nederland kennen als GOVCERT/waarschuwingsdienst.nl (tegenwoordig wellicht beter bekend van de organisatie waar ze nu onderdeel van uit maken: Nationaal Cyber Security Centrum: NCSC). Beiden zijn zogenaamde CERT: Computer Emergency Response Team. De term CERT is inmiddels door copyright beschermd (wtf?!). Daardoor zie je tegenwoordig ook de term CSIRT. Het is een andere naam voor hetzelfde beestje. Menig grote organisatie heeft wel een CERT. Het idee is dat dit team de security van de eigen computersystemen bewaakt. Bij organisaties als US-CERT en NCSC/waarschuwingsdienst.nl geldt dit voor de gehele bevolking omdat het overheidsinstanties zijn. Zij beoordelen de diverse risico's en bepalen wat te doen. In dit geval waarschuwen ze mensen voor dit Java lek en geeft men als advies om de plugin in de webbrowser uit te schakelen.

Een aantal browserfabrikanten hebben het voortouw genomen. Inmiddels zijn Chrome, Firefox en Safari (in dit geval is het eigenlijk OS X die blokkeert waardoor Safari ook niks kan) browsers die standaarde de Java plugin blokkeren. Mocht je een andere webbrowser hebben dan is het dus wel aan te raden om te kijken wat zij doen. Wanneer ze niks doen zul je dus zelf de plugin moeten uitschakelen of (tijdelijk) overstappen naar een webbrowser die hem uitgeschakeld heeft.

Anyway, US-CERT heeft het gehele verhaal kort maar krachtig in een bulletin online gezet: Alert (TA13-010A): Oracle Java 7 Security Manager Bypass Vulnerability. Indien gewenst kun je je ook laten inschrijven bij hun voor dit soort bulletins. Je krijgt ze dan per mail. Dit kun je ook bij waarschuwingsdienst.nl. Zij hebben over dit lek de volgende informatie online staan: WD-2013-007 Kwetsbaarheid in Java Browser Plugin ontdekt.

Ik mag je reactie helaas niet modereren omdat het een reactie op een post van mij is, maar dit is de duidelijkheid die ik zocht! +3 wat mij betreft!

Uit nieuws: Nieuw beveiligingsprobleem Java wordt mogelijk al misbruikt:

Beveiligingsbedrijf Alien Vault heeft het beveiligingsprobleem met de informatie die Kafeine beschikbaar heeft gesteld nu weten te reproduceren. Ze wisten eigen code uit te voeren met behulp van het lek, op een volledig gepatchte Windows-installatie met Java.

Dus even kijken hoe Alien Vault het heeft gedaan: http://labs.alienvault.co...ew-year-new-java-zeroday/
De oplossing staat daar ook gemeld:

Right now the only way to protect your machine against this exploit is disabling the Java browser plugin. Let’s see how long does it take for Oracle to release a patch.

Was dat een antwoord?

EDIT: en zoals je zelf trouwens ook al zegt, als het Java op je systeem was dan was je sowieso al de Sjaak: je hebt het al 'geinstalleerd' en je voert het op je systeem uit. Dan heeft de VM al genoeg rechten om aanpassingen te maken dus is het lek niet nodig: dat zou juist een omweg zijn.
Overgiens ben ik het wel met je eens, het lijkt eerder op een vertaald/gekopieerd bericht dan dat ze er zelf wat toevoegingen aan gedaan hebben.

[Reactie gewijzigd door Cheap Apps op 13 januari 2013 14:09]

Dit is ook wat ik eerst dacht... echter volgens Reuters stelt Oracle dat het lek alleen in Java 7 zit.... Bedoelt men daar dan mee alleen de browser plugin die bij Java 7 wordt geleverd?

Verder zou ik me nog voor kunnen stellen dat als het een lek in de runtime zou zijn, dat het dan bijvoorbeeld in de sockets implementatie zou kunnen zitten, zodat ook vertrouwde Java applicaties die een server draaien gevaarlijk zouden kunnen zijn omdat die het lek exploiteerbaar zouden kunnen maken.

Jammer dat Oracle niet wat meer duidelijkheid geeft. Geen datum voor de fix en ook geen instructies wat je moet doen om Java veilig te kunnen blijven gebruiken... Eigenlijk alleen de mededeling dat ze het 'binnenkort' gaan fixen. Tja dat lijkt me nogal wiedes dat je een kritiek veiligheidslek niet ongefixed laat....

De browser plugin maakt het mogelijk om een java applet te draaien in de browser. Vergeet niet dat er een verschil zit tussen java en javascript. Java is een plugin zoals bijvoorbeeld een PDF reader. De basis tussen de plugin en de stand-alone software is identiek. Als de software kwetsbaar is, is de kans het grootst dat het zowel in de plugin als in de stand alone runtime zit.

Java is een plugin

Dat is maar een klein onderdeel van Java. Java is veel meer dan alleen een browser plugin. Java wordt zelfs veel meer gebruikt voor server-side software. Dit is precies de verwarring waar mijn vraag over gaat: Zit dit lek nu alleen in het browser deel van Java of in heel Java.

EDIT: Ik snap dat bij de Java plugin ook de Java runtime zit, maar zelf verwacht ik eigenlijk dat het lek in de plugin zelf zit. Maar goed ik hoop dus dat iemand hier zekerheid over kan geven, want het verschil is nogal belangrijk als je het risico en de reikwijdte van het lek wilt kunnen inschatten.

[Reactie gewijzigd door OddesE op 13 januari 2013 15:18]

Gewoon java mag al executables op je systeem starten... het probleem is dat applets dat recht normaal gesproken niet hebben (sandbox), maar door dit lek dat recht toch kunnen verkrijgen.

Ik zou nu zo langzamerhand wel eens duidelijkheid willen hebben.

Zit deze bug nu:

In de Java runtime
In de Java browser plugin
In allebei

Ik weet niet hoe het zit, maar voor je misbruik kan maken van een gat moet je er eerst bij komen. De beveiliging van mijn koelkast is bijzonder slecht, maar zolang je niet door mijn voordeur kan is dat geen probleem.

De java browser plugin is zelf een soort voordeur. Als daar een probleem in zit dan is het vrij eenvoudig om er bij te komen en er misbruik van te maken. Als een willekeurige java applicatie een bug heeft hoeft dat geen probleem te zijn als die applicatie niks met het netwerk doet.

Nee, maar als er een bug in de Java runtime zelf zou zitten (en die indruk wekt Tweakers steeds) dan zou dat vergelijkbaar zijn met een bug in je OS; elke applicatie die er op draait zou erdoor geraakt worden.

Gecombineerd met het feit dat applets vrij weinig gebruikt worden maakt dit nogal een verschil. In het ene geval zet je de Java browser plugin uit en ben je klaar. In het andere geval moet je je zorgen maken om elke Java applicatie die je draait en zeker op (web) servers wordt Java vrij veel gebruikt. Zijn er nu dus duizenden of miljoenen websites kwetsbaar die Java gebruiken voor de implementatie van de backend, of is dit puur een client probleem?

Dit lek (en de meeste vorige lekken) zitten allemaal in de browser plug-in. Gewoon de browser plug-in uitzetten. Java op je desktop, server of mobiel heeft geen last van dit issue.

Als Java specialist baal ik ontzettend van de Java implementatie in de browser: dit is altijd ondermaats geweest. Ik denk dat Oracle gewoon een keer moet stoppen met Java in de browser: ze hebben het nu al drie keer opnieuw gedaan en het is nog steeds onvoldoende. Voor de reputatie van Java is dat beter: het platform krijgt al zo lang het bestaat slechte pers door de brakke browsersupport, terwijl Java op andere terreinen enorm succesvol is.

Probleem is dat bij Oracle's klanten de browser plugin behoorlijk populair is in enterprise en/of intranet toepassingen. Het is meer de consumenten markt die Java browser plugins niet nodig heeft.

Als Oracle zomaar ongevraagd de browser plugin uit Java haalt, raken er heel veel bedrijven (Oracle klanten!) serieus over de zeik.

[Reactie gewijzigd door Dreamvoid op 13 januari 2013 21:59]

Gho, Apple blokkeerde het een dag geleden(nieuws: Apple blokkeert Java op Mac OS X En nu gaan ze aan de slag.

Waarom zijn ze niet eerder begonnen ??

[Reactie gewijzigd door rickboy333 op 13 januari 2013 13:26]

Wie zegt dat ze niet eerder begonnen zijn? Gisteren is er pas een formeel persbericht uitgekomen.

Ze zijn zeker eerder begonnen, een persbericht met de mededeling dat ze er mee bezig zijn maar niet weten hoe het duurt voordat het is opgelost heeft niemand wat aan en zorgt alleen maar voor extra bezorgdheid.

Je gaat dus eerst uitzoeken wat het probleem is, dan weet je ook ongeveer hoe lang het duurt om het op te lossen en dan gooi je een persbericht de deur uit.

Lijkt mij niet minder dan logisch, Apple heeft hier dus heeelemaal niks mee te maken.

"binnenkort" betekent waarschijnlijk dat de fix niet heel omvangrijk is en dus snel gedaan kan worden.

een persbericht met de mededeling dat ze er mee bezig zijn maar niet weten hoe het duurt voordat het is opgelost heeft niemand wat aan en zorgt alleen maar voor extra bezorgdheid.

Het is anders een stuk beter dan helemaal niks laten horen, nu weet je in ieder geval dat er wat gebeurt,

Apple heeft hier dus heeelemaal niks mee te maken.

Als één van de grotere OS/pc fabrikanten je software blokkeert dan laat je zeker van je horen om je gebruikers te informeren, dat lijkt me juist heel logisch.

Wie zegt dat ze niet eerder begonnen zijn? Gisteren is er pas een formeel persbericht uitgekomen.

Natuurlijk zij ze eerder begonnen. Echter moet er na de negatieve berichten dat Apple Java gaat blokkeren wel even een positief bericht de wereld in, zodat iedereen ook weet dat een oplossing nabij is. Zonder de actie van Apple had Oracle dit bericht niet naar buiten gebracht denk ik zo.

Zonder de actie van Apple konden gebruikers nog steeds hun Java applets gebruiken, dus het is niet meer dan logisch dat Oracle zijn klanten informeert.

Apple ontwikkelt samen met Oracle de OS X client van Java, dus er is geen sprake van vijandigheid over en weer. Er wordt ongetwijfeld driftig getest, en als het allemaal werkt pusht Oracle een update naar de clients.

oke dat is waar. Maar ik vind het wel heeeel erg verdacht dat een dag na appels block. Oracle aan de slag gaat.

Ik vraag me eerder af, waarom (mogelijk) pas een fix in februari? Zullen er in een maand tijd niet veel infecties plaats kunnen nemen? Ik vind het weer nogal laks klinken van Oracle. Maar goed, dat zal niet de eerste keer zijn dat ze wachten met een nood-patch.

Wie zegt dat de nood patch pas in februari komt. Oracle heeft dat niet aangegeven. De reguliere patchdatum ligt in februari dat is feitelijk het enige wat er staat en verder wordt er niets duidelijk gemaakt.

Denk dat ze al een tijdje bezig zijn. Vandaag is een patch uitgekomen, zie hier

Bij Apple moet ik altijd even denken of ze dit uit eigen gewin blokkeren, of omdat ze dit daadwerkelijk een groot gevaar vinden.

Neemt niet weg dat Oracle hier slordig mee omspringt. Ook al is dit gratis software; enige verantwoordelijkheid zou ze sieren.

Oracle is voor een groot deel afhankelijk van Java, dus misschien denk je maar dat ze er slordig mee omspringen, het zal ze wel degelijk wat kunnen schelen. Al hun bedrijfssoftware is Java, en ze zijn één van de grote voorvechters van Java geweest en al vanaf het begin heel nauw betrokken bij de ontwikkeling.

Het is dus niet dat ze het er ineens bij hebben gekregen bij de Sun acquisitie en het er een beetje bij doen.

Maar toch lijkt het alsof Oracle hier laks mee omgaat.
Trrag reageren, geen duidelijke datum van patchen, releasen met bugs die ze al hebben opgelost.
Nee, hier gaan ze niet goed mee om.
Het lijkt er toch nog op dat ze het oude imago willen handhaven; die van geldwolf.

Na het verlies van de rechtzaak tegen Google hadden ze Java geheel vrij moeten maken en een samenwerkingsverband moeten aangaan. Dat zou een mooie groei zijn.

En om deze problemen te voorkomen, verwijder de browser plugin.

Volgens mij is er inmiddels een patch uitgerold.

En dat van geldwolf klopt: het is een super commercieel bedrijf. Maar dat neemt niet weg dat ze niet gek zijn. En op een of andere manier is worden er steeds als de naam Oracle valt onzinverhalen de lucht in geslingerd dat ze Linux, Java, MySQL willen killen. Als iemand ook maar een schijntje kennis van zaken heeft, zou ie meteen weten dat dit grote onzin is.
Maar ja, tegen smakelijke geruchten valt niet te vechten. Het is namelijk een groot bedrijf en die zijn alleen maar uit op winst. Toch zou het prettig zijn als mensen zich nou eens in iets zouden verdiepen ipv gratuit onzinverhalen doorlullen die ze van anderen overnemen.

Welk gewin heeft Apple, ze hebben een goede relatie met Oracle, en gebruiken veel Oracle software zelf ook. Ook blokkeren ze Java niet als heel, maar alleen de browser plugin. Java zelf werkt op mijn mac's nog prima. (En is ook niet lek, dat is wederom de browser plugin)

Mooi
Ik gebruik wel noscript plugin in Firefox, maar het is toch altijd beter dat dergelijke lekken in de software zo snelmogelojk opgelost geraken. Momenteel zelfs Java verwijderd en browserplugins gedisabeld. Tot de fix. (En Apple had hun gebruikers ook beter de mogelijkheid gegeven om het allemaal zelf te doen, want Java is nogal redelijk gebruikt voor veel zaken online)

Je kunt het beter andersom doen: browser plug-ins verwijderen en Java (eventueel) uitschakelen. Gewoon Java is alleen kwetsbaar als je zelf iets stoms download en het dan uitvoert. Dus dan heb je de fout sowieso al begaan. De browser plug-in daarentegen voert uit wat het voorgeschoteld krijgt en door dit lek kan code buiten de sandbox komen waardoor kwaadwillende code uitgevoerd kan worden.

Oracle heeft nu update 11 uitgebracht. Ik heb update 10 eerst gedeinstalleerd en daarna 11 en zag dat bij update 11 de ondersteuning voor Java in browsers is uitgeschakeld (ik had dit in 10 uitgeschakeld).

Je dient het zelf weer in te schakelen, als je dat wilt. De update schakelt het dus niet zelf in, wat positief is omdat je er dan bewust van bent als je het weer hebt ingeschakeld.

Waarschijnlijk gaat het gewoon over deze tweet. Oracle wilde er nog wel een datum bijzetten, maar dat paste niet meer binnen de 140 karakters

Offline download:

http://www.oracle.com/tec...e7-downloads-1880261.html

[Reactie gewijzigd door lebans op 13 januari 2013 21:59]

Ik vind het jammer dat ik java nodig heb voor skillsoft website, anders had ik het er al lang af gegooid.

Kan je niet whitelisten? Plugins alleen toestaan op die website? Dan is het toch wel (redelijk) veilig?

Dat kan in theorie, maar Java maakt dit bijzonder lastig om op een normale manier in te stellen. In IE kan je bijvoorbeeld in de manage ad-ons instellen dat hij niet op elke site mag laden. In firefox weet ik hiervoor geen methode, behalve met externe ad-ons oid (noscript?). Het zou fijn zijn als het gewoon vanuit het java-control-panel kon en dan voor alle browsers geldig was. Bovendien zou het makkelijk centraal beheerd moeten kunnen worden voor in bedrijfsomgevingen.

[Reactie gewijzigd door woekele op 13 januari 2013 13:54]

OF addons geladen mogen worden of niet is toch echt een zaak van de browser dacht ik zo.

En inderdaad, bij Chrome kan het gewoon. Je kan uitzonderingen per site toevoegen. Zowel voor toestaan, vragen als blokkeren.

Nu snap ik ineens waarom Apple nooit verder is gegaan met ZFS. Als Oracle zo snel op al hun bugs en/of lekken gaat reageren, zullen veel clienten gaan afhaken. Sterker nog, dan zal Java vrij snel uitsterven (missschien is dat wel hun doel )

[Reactie gewijzigd door Trunksmd op 13 januari 2013 15:48]

Nu snap ik ineens waarom Apple nooit verder is gegaan met ZFS. Als Oracle zo snel op al hun bugs en/of lekken gaat reagere

Dat is wel een extreem vergezochte conclusie en slaat de plank redelijk mis naar mijn idee.

Toen Apple ZFS liet vallen was Sun nog helemaal zelfstandig en geen onderdeel van Oracle. Tevens was er in die tijd helemaal geen indicatie dat Sun overgenomen zou worden door Oracle. Als ze al overgenomen gingen worden dachten de meeste mensen (inclusief mijzelf) dat het door IBM zou gebeuren.

De echte rede waarom Apple ZFS liet vallen is (voor zover ik weet) nooit boven tafel gekomen. De meest waarschijnlijke theorie is dat ze bang werden voor de patent rechtzaken welke toen om ZFS heen hingen (NetApp was de boosdoener). Ironisch genoeg zijn nu ZFS van Oracle is deze rechtzaken allemaal opgelost / geschikt.

Java per direct verwijderd. Deze zal nooit meer terug keren net als Adobe Reader. Ik vindt het te gek voor woorden dat ik als een paranoïde man alles beveilig. Maar door een bedrijf die het verzaakt zijn software in orde te krijgen, mij kwetsbaar maakt.

[Reactie gewijzigd door Amazigh_N_Ariff op 13 januari 2013 22:50]

Ga je nu ook je OS verwijderen?
Zitten ws ook nog ongepatchte bugs in alleen heb je er geen weet van.

Dit krijgt nou net effe aandacht en hup gelijk Java eraf? Alleen ff de browser plugin disablen was genoeg geweest hoor. Enfin er is inmiddels een patch uit dus stop panicing

Je had ook je UTP kabel uit je pc kunnen trekken, was je ook niet vatbaar meer geweest.