Критическая уязвимость в JRE.

Переполнение буффера в коде обработки изображений Java Runtime Environment может позволить недоверенному апплету (или приложению) повысить свои привилегии. В частности, эта уязвимость может позволить приложению читать/писать в локальные файлы (на файловой системе машины, где запущенна JRE) и запускать приложения вне JRE.

Фирма Sun подтвердила наличие уязвимости. Заплатка, исправляющая данную уязвимость уже выпущена, и доступна на сайте Sun.

>>> Подробности

Ссылка

← Закрытие OpenMOSIX.

Робот-собака BJ →

У меня после обновления на jdk6u2 стал сегфолтиться Thunderbird. Откатился обратно на 6u1.

Deleted
(16.07.07 19:52:11 MSK)

респект сану от всех анонимусав, за оперативность

anonymous
(16.07.07 19:53:33 MSK)

Ссылка

Ответ на: комментарий от Deleted 16.07.07 19:52:11 MSK

Лучше откатись на Claws Mail - он точно не сегфолтится после обновления.

los_nikos ★★★★★
(16.07.07 20:02:47 MSK)

Ссылка

Всегда знал что жаба говно enterprise класса.

anonymous
(16.07.07 20:03:52 MSK)

Ответ на: комментарий от Deleted 16.07.07 19:52:11 MSK

нафига тандерберду jdk?

JB ★★★★★
(16.07.07 20:08:36 MSK)

Ответ на: комментарий от JB 16.07.07 20:08:36 MSK

Похоже, чтобы запускать мультиплатформенные почтовые Java трояны :)

Davidov ★★★★
(16.07.07 20:20:17 MSK)

Ответ на: комментарий от Davidov 16.07.07 20:20:17 MSK

> запускать мультиплатформенные почтовые Java трояны :)

Очень удобно читать спам.

los_nikos ★★★★★
(16.07.07 20:28:16 MSK)

Ссылка

Ответ на: комментарий от JB 16.07.07 20:08:36 MSK

А фиг знает :) По-умолчанию поддержка включена была. Отключил(security.enable_java=false), всё стало работать.

Deleted
(16.07.07 20:30:35 MSK)

Ссылка

Ответ на: комментарий от anonymous 16.07.07 20:03:52 MSK

>Всегда знал что жаба говно enterprise класса.

Но-но! Шалишь, парниша!

Всегда знал, что в словаре анонимуса кроме "Всегда знал что жаба говно enterprise класса." больше других слов нет, как в словаре Эллочки

anonymous
(16.07.07 21:02:04 MSK)

Ответ на: комментарий от anonymous 16.07.07 21:02:04 MSK

>Всегда знал, что в словаре ..

В лужу пердишь, бздунишка видать или зассанец.. Слов то у меня хватает, но боюсь что они не для столь достойного сайта.

anonymous
(16.07.07 21:20:24 MSK)

Ссылка

Опять? Не так давно вроде прошлая была. Ява - зло.

ChALkeR ★★★★★
(16.07.07 21:29:43 MSK)

Ссылка

У санок всегда во всех продуктах торчали дыры enterprise-класса

сначала дырявая JVM со всеми ее кривыми по умолчанию policy,

потом досящая бага в java.util.zip,

целая эпопея с халявным рутом в телнетд в соляре,

еще кривая сериализация, также оканчивающаяся досом,

ну и в добавок до сих пор непофикшен механизм, позволяющий классу элевейтнуться до невообразимых высот и запустить вне jvm то, что лежит в стеке (эта тема давно обсосана не то что во phreak, даже в хакере статья висит, но санки упорно отмалчиваются - типа это не бага, а фича)

но пипл хавает - энтерпрайз же все-таки...

MaratIK ★
(16.07.07 21:37:36 MSK)

Это хорошо что у нас 1.5.0_12 на сервере скриншоты обрабатывает :-)

maxcom ★★★★★
(16.07.07 21:49:21 MSK)

Ссылка

Ответ на: комментарий от MaratIK 16.07.07 21:37:36 MSK

>ну и в добавок до сих пор непофикшен механизм, позволяющий классу элевейтнуться до невообразимых высот и запустить вне jvm то, что лежит в стеке (эта тема давно обсосана не то что во phreak, даже в хакере статья висит, но санки упорно отмалчиваются - типа это не бага, а фича)

Ну на своем компе ты можешь запустить в стеке все что угодно, а как эта фича поможет тебе поднять твои привилегии на сайте adobe.com? Или в сети злобной FBI, CIA? Как ты собираешься в их JVM загрузить свой класс? Я правда не понимаю. "Я - новый злобный вирус. Загрузите меня через java.exe, пожалуйста" Так чтоли?

anonymous
(16.07.07 22:40:13 MSK)

Ответ на: комментарий от MaratIK 16.07.07 21:37:36 MSK

> ну и в добавок до сих пор непофикшен механизм

в апплетах работает?

anonymous
(16.07.07 23:46:07 MSK)

Ну наконец-то! А то все ПХП и кернел ошибки. Такие ошибки просто бальзам на душу анонимусам :)

dimag ★
(16.07.07 23:57:53 MSK)

Ссылка

Беспокоиться имеет смысл лишь тем, у кого стоят JRE 1.3 и 1.4. Потому как 1.3.1_20 и 1.4.2_14 -- действительно последние версии на своих ветках.

Тем же, у кого стоят последние версии 1.5/1.6, волноваться нечего.

Bass ★★★★★
(17.07.07 00:02:22 MSK)

Ссылка

Ответ на: комментарий от anonymous 16.07.07 23:46:07 MSK

не знаю как в апплетах, но томкат кладет

MaratIK ★
(17.07.07 00:12:55 MSK)

Ссылка

Ответ на: комментарий от anonymous 16.07.07 22:40:13 MSK

> "Я - новый злобный вирус. Загрузите меня через java.exe, пожалуйста" Так чтоли?

угу, называется жабохостинг

MaratIK ★
(17.07.07 00:15:24 MSK)

Ссылка

Ответ на: комментарий от Deleted 16.07.07 19:52:11 MSK

у мну 1.7.0, думается мне, что можно спать спокойно.

shahid ★★★★★
(17.07.07 00:51:29 MSK)

Ответ на: комментарий от shahid 17.07.07 00:51:29 MSK

Это разрабатываемая версия, думается там уязвимостей на порядок больше.

los_nikos ★★★★★
(17.07.07 06:48:02 MSK)

Ссылка

Ответ на: комментарий от MaratIK 16.07.07 21:37:36 MSK

>но пипл хавает - энтерпрайз же все-таки...

Другие не лучше.

WFrag ★★★★
(17.07.07 08:22:28 MSK)

Ссылка

А жабберы ссут кипятком восхваляя свою жабу... А тут такое...

anonymous
(17.07.07 09:27:07 MSK)

Ответ на: комментарий от MaratIK 16.07.07 21:37:36 MSK

> но пипл хавает - энтерпрайз же все-таки...

И ты хаваешь ежедневно. В огромных количествах. Еслиб не этот ентерпрайз ты бы до сих пор по деревьям лазал и жопу камнем вытирал...

iBliss ★
(17.07.07 09:49:29 MSK)

Ссылка

Гм. Это все из-за JIT.

eXOR ★★★★★
(17.07.07 10:06:01 MSK)

Проклятое решето!

Никогда не любил жабу...

anonymous
(17.07.07 11:10:51 MSK)

Ссылка

Ответ на: комментарий от anonymous 16.07.07 21:02:04 MSK

+1. Всегда знал, что хоть один анонимус на любое сообщение об уязвимости чего-то сообщит "Всегда знал, что "чего-то" - говно".

anonymous
(17.07.07 11:19:35 MSK)

Ссылка

Ответ на: комментарий от anonymous 17.07.07 09:27:07 MSK

>А жабберы ссут кипятком восхваляя свою жабу... А тут такое...

Ты почитай хотя бы этот топик: жабберы тихо себе работают. И только Анонимусы излишне эмоциональны.

achy
(17.07.07 11:35:00 MSK)

Ответ на: комментарий от achy 17.07.07 11:35:00 MSK

Потому что, мы, анонимусы, имеем очень мало мозгов (и, соответственно, денег) и очень много свободного времени (и, соответственно, самомнения). Потому, мы, анонимусы-жабоненавистники, как бандерлоги, и радуемся малейшим багам в Java.

anonymous
(17.07.07 12:00:46 MSK)