Apple dicht half jaar oud Java-gat

Natuurlijk is Java meer dan Applets.

Maar als ik de werking van de exploit goed begreep, was het een call die gemaakt kon worden *vanuit* Java, en niet zozeer een buffer overflow of iets dergelijks. Derhalve zou Java op een server alleen exploiteerbaar kunnen zijn, door diegene die de code daar plaatst, niet van buiten af.

Corrigeer me als ik het mis heb.

Schijnveiligheid.

Allemaal theorie. De praktijk wijst anders uit.

Besides, staan Apple users er eigenlijk wel bij stil dat bepaalde bestanden mogelijk wel besmet zijn, wellicht geen gevolgen voor hun eigen systeem hebben, maar, als ze naar hun MS OS vrienden wordt doorgestuurd, daar wel hel en verdoemenis kunnen veroorzaken?

Volgens de windowsfans is er niets aan de hand zolang je automatische updates aan hebt staan en een recent ge-update virusscanner gebruikt.
Toch? Of toch niet...?

Er zijn enge beestjes voor hun lieveling, maar ze weten niet hoe ze er uit zienDenk je niet dat er aandacht voor zou zijn in de pers? Of is die net zo blind?

Feit is, dat er buiten wat opgeklopt nieuws, geen overtuigend bewijs is voor het bestaan van 'enge beestjes'.

Ik weet niet hoe het met jouw is, maar in het bos maak ik me niet druk over avondkaters, ringelberen en witte wijven. Allemaal heel eng, maar niet aangetoond.

Oplettendheid is vereist, maar bij doem-profetieën kan ik alleen maar glimlachen.

*** reactie verwijderd ***

Toch ben ik het wel eens met de zienswijze van Microsoft. Niemand, maar dan ook niemand, heeft meer ervaring met pleisters plakken.

Of dat in zichzelf een positief punt is, dat laat ik over aan de lezers. ;)

Van de bedrijfssoftware die een actief patchbeleid vereist, spant Microsoft zonder enige twijfel de kroon. Daardoor hebben ze nu zeker de meeste ervaring op dat gebied en de meeste input van bedrijven.

Aangezien Microsoft onder druk van klanten al diverse malen haar patchbeleid heeft aangepast, denk ik toch dat ze daarin nu langzaam maar zeker toch een ideale mix tussen de wensen van bedrijven en gebruikers hebben gevonden.

Ik ben niet wild enthousiast over hun technische oplossing ervan, maar procedureel geloof ik best dat het vrij goed is.

Alleen die bugtracker ... ;)

*** reactie verwijderd ***

een lek in een browser die net uit is kan nooit een jaar oppenstaan ;)
In IE7 en IE8 was het probleem aanvankelijk al opgelost en in IE8 release was er kennelijk sprake van regressiecode.. slorig. Er is trouwens over deze POC code veel commentaar.. hier werkt het in ieder geval niet onder IE8-NL!

*** reactie verwijderd ***

Laten we even man en paard noemen. je favo quote van de week merk ik ;)
het gebruiken van SU ipv sudo is bijvoorbeeld een mogelijkheid. Gebruikers hebben de vervelende eigenschap ergens op te klikken en op een vraag gewoon een wachtwoord in te geven. Ik daag je =uit een testje te schrijven onder linux of mac en dat los te laten op gebruikers. Als ze menen dat het normaal is dat er om een wachtwoord gevraagd wordt dan geven ze dat gewoon.
nog wat leestips

Regardless of whether a user is logged in as an administrator, a program might have to obtain administrative or root privileges in order to accomplish a task. Examples of tasks that require elevated privileges include:

*

manipulating file permissions, ownership
*

creating, reading, updating, or deleting system and user files
*

opening privileged ports (those with port numbers less than 1024) for TCP and UDP connections
*

opening raw sockets
*

managing processes
*

reading the contents of virtual memory
*

changing system settings
*

loading kernel extensions

If you have to perform a task that requires elevated privileges, you must be aware of the fact that running with elevated privileges means that if there are any security vulnerabilities in your program, an attacker can obtain elevated privileges as well, and would then be able to perform any of the operations listed above.

Launching a New Process

Because any new process runs with the privileges of the process that launched it, if an attacker can trick your process into launching his code, the malicious code runs with the privileges of your process. Therefore, if your process is running with root privileges and is vulnerable to attack, the attacker can gain control of the system. There are many ways an attacker can trick your code into launching malicious code, including buffer overflows, race conditions, and social engineering attacks (see “Types of Security Vulnerabilities”).
bron oa apple developers..

Geen verrassing, komend van jou. Ieder zijn mening.

Dat deel van de gemeenschap wat ik ken is redelijk genuanceerd. Die beseffen echt wel dat Apple niet de heilige graal van veiligheid is.

Net als op BSD servers is patchen gewoon nodig om je veiligheidsstandaard hoog te kunnen houden.