Új hozzászólás Aktív témák

• #33 Panthera őstag modeller #2

  Új Válasz 2014-08-15 11:57:50 #33

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Panthera

  őstag

  válasz modeller #2 üzenetére

  Tiltás alatt mit értesz, hogy nem teszitek fel?
  Jól tudom, hogy a futtatókörnyezet nélkül a böngészőbe sem települ kiterjesztésként?

• #32 floatr veterán modeller #29

  Új Válasz 2014-08-15 09:02:29 #32

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  floatr

  veterán

  válasz modeller #29 üzenetére

  Egy kicsit félreértesz "minket". Alapvetően én is frissítéspárti vagyok, csak láthatóan nem érted, vagy nem akarod érteni a problémát. Vagy egyszerűen nem ismered.

  Java esetében hatványozottan igaz az, hogy ami nem romlott el, azt nem akard megjavítani. Az utóbbi években ez a kevésbé figyelmes rendszergazdáknál is lejöhetett, hogy a Java update nem patch-elés. Sok dolog változik egy új release-ben, és odavághat olyan technológiáknak, amik egy nappal korábban még tökéletesen működtek. A JRE 1.7.0 apache komponenseket vágott gallyra. A tavaszi biztonsági frissítések miatt az appletek és a JWS alkalmazások voltak szopóágon. A legutóbbi frissítés (j8u11, j7u65) a JRebel-t és a Groovy-t nyírta ki, szintén desktop oldali biztonsági kötélhúzás okán.

  Szóval hacsak nincsen valami konkrét és komoly exploit a szerver oldalon, egy épelméjű support nem fogja kockáztatni a vállalat rendszerének teljesen ufó lerohadását egy nagyon korlátozott elérhetőségű alkalmazásszerver vélt sérülékenységének feltételezett javítása érdekében.

  (#31) VaniliásRönk véletlenül azt hitte, hogy a dalvik is java runtime A szerver sérülékenységét, meg most próbálják igazolni helyi levezetéssel. A szerver-oldali dolgokról még a komolyabb szagemberek is annyit mondanak csak, hogy untrusted 3rd party komponensek, amiben nyilván bele lehet futni, ha az ember azt sem tudja, mit épít az alkalmazásba. Volt már erre példa (mármint JAR-okat feleslegesen halmozó emberek) de nem voltak hosszú életűek komolyabb projektekben. Szóval megint egy olyan dolgot erőltetnek itt páran, amiről láthatóan nem tudnak többet mondani, mint az általános szövegek.

• #26 floatr veterán modeller #10

  Új Válasz 2014-08-14 21:22:05 #26

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  floatr

  veterán

  válasz modeller #10 üzenetére

  Ezek szerint a "ha" kimaradt. Csak azért kötöm az ebet a karóhoz, mert nem konkrétumokról beszélsz, hanem csak általában lehetőségről. A file upload már valami, de még mindig nem az, amitől a java-nak önmagában pusztulni kéne (hibás az apache, pusztuljon c/c++). Ettől sokkal komolyabb exploitok voltak az utóbbi időkben openssl-re, x11-re, apache httpd-re meg kitudja még mi a rákra - local meg remote is. Ráadásul egy rakat ilyen sokáig még akkor is foltozatlan maradt, amikor kiderült a hiba, ezek szerint akkor mindezeknek pusztulni a kéne

  A plugines dolgokkal én sem vagyok kibékülve, de a jws alkalmazásokkal (pl. abev) már hadd ne legyen probléma, ha a user dönti el, hogy akarja-e használni. A szerver dolgait illetően meg még mindig nem értünk egyet. A runtime hibák nagy része a sandbox-szal kapcsolatos. Amit linkeltél, az is. Ettől függetlenül nekem sem tetszik, ahogy az oracle kezeli a dolgokat.

  De akkor meg rettegjetek, mert a bankok vakmerően használják

• #20 dtracer tag modeller #18

  Új Válasz 2014-08-14 20:19:42 #20

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  dtracer

  tag

  válasz modeller #18 üzenetére

  Köszönjük a szalmabáb érvelést. Egy osztály engedélyeit kijátszani nem lehet programozói hibával. Azt a program írójának kell szándékosan elhelyeznie, de gondolom tudod te ezt.

• #17 dtracer tag modeller #15

  Új Válasz 2014-08-14 19:45:48 #17

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  dtracer

  tag

  válasz modeller #15 üzenetére

  Aha, szóval a kedves programozó volt szíves neked beleírni a kódba egy "hibás fgv-t", (persze az általad linkelt cikk az egy osztály engedélyeinek kijátszásáról szól, nem pedig programozási hibáról). Valamint azt is meg fogja neked nézni, hogy a kedvedért meghívhatja-e. Csak neked. Értem. Teljesen mindennapi probléma.

• #13 dtracer tag modeller #8

  Új Válasz 2014-08-14 19:30:28 #13

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  dtracer

  tag

  válasz modeller #8 üzenetére

  És hogy viszed be a java byte code-odat a server sandbox-szába, hogy ki tudjon onnan lépni?

• #12 Gregorius őstag modeller #10

  Új Válasz 2014-08-14 19:07:58 #12

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Gregorius

  őstag

  válasz modeller #10 üzenetére

  egy önmagában bagatel remote exploit-al
  Az milyen? Olyat még nem láttam.

• #9 floatr veterán modeller #8

  Új Válasz 2014-08-14 17:50:56 #9

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  floatr

  veterán

  válasz modeller #8 üzenetére

  Amire én gondolok, az a java szerver pozicionálása. Általában úgy használják, hogy egy frontend szerver mögött van eldugva az alkalmazásszerver - kívülről védett. Belülről értelemszerűen megbízható rendszerek érhetik el - hacsak a belső rendszer nem átjáróház, megint csak elég sovány a dolog. Ha létezik OS szintű privilégiumszint eszkaláció, akkor egy helyi felhasználó támadhatja a rendszert - eltekintve a java hosting szerverektől szintén ritka, hogy problémás júzerek támadnának. Meg ha támadnának is, akkor erre adódhat jóval több lehetőségük, mint a JRE. De még várom azt az OS szintű PE exploitot, amivel ezt meg lehet(ett) tenni.

  Amit a cikkben elemezgetnek, az a sandboxról szól. Elég gáz ez is, de JRE/plugin probléma, nem a "nyelvé".

• #4 floatr veterán modeller #2

  Új Válasz 2014-08-14 16:33:14 #4

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  floatr

  veterán

  válasz modeller #2 üzenetére

  Még a desktop esetében rá lehet fogni, de szerveres esetben mondj már példát egy exploitra, plz

Új hozzászólás Aktív témák