Sicherheitslücke: "9 Month Old Critical Java Vuln. Still Not Patched in Mac OS X"

[blueman-benny]

Genau..ich lasse mir rm -rf $Home auf ein T-Shirt drucken

 

[wegus]

ich fürchte eher man hat bei Apple zu gunsten der tragbaren Spielekonsolen mit Telefonfunktion einfach den Entwicklungsschwerpunkt verlagert. Die Benutzer die auch noch die dämlichste App im Store kaufen (Rasierer, wo parkt mein Auto,...) geben dem ja auch recht und da ist vermutlich kein Geld mehr da für so banale Dinge wie Java und Sicherheit!
Daran werden auch irgendwelche Klagen von irgendwelchen Benutzern denen dann die 2te Berufung zu teuer wird auch nichts ändern! Solange das Kaufverhalten stimmt, stimmt auch das Angebot. Das ist die traurige Wahrheit, egal ob der Konzern Apple heißt oder Microsoft!


@bluemann-benny: Da bist Du ein bißchen spät drann

 

[SelonScience]

Zehntausende Webseiten fallen Massenhack zum Opfer

Der Sicherheitsdienstleister Websense hat nach eigenen Angaben Massenhacks von Webseiten beobachtet, bei denen Kriminelle eigene JavaScripte in die Seiten eingebettet haben. Besucher der Seiten werden laut Bericht auf eine Domain umgeleitet, die einen ähnlich klingenden Namen wie google-analytics.com hat. Dort versucht ein Server mit mehreren Exploits für den Internet Explorer, Firefox und QuickTime den PC des Besuchers zu infizieren.

http://www.heise.de/newsticker/Zehntausende-Webseiten-fallen-Massenhack-zum-Opfer--/meldung/139780

Apple darf nicht mehr laenger zoegern und uns gepatchte Versionen geben!

 

[Amsterdammer]

hm...
in diesem Thread geht es aber um Java applets
und nicht um JavaScript

Mit dem Browser Firefox und der Erweiterung NoScript fängt man beide Bedrohungen ab

 

[SelonScience]

hm...
in diesem Thread geht es aber um Java applets
und nicht um JavaScript

Mit dem Browser Firefox und der Erweiterung NoScript fängt man beide Bedrohungen ab

die javascript problematik betrifft die Web-Server. Die Surfer werden dann mit exploits abgeklopft, nachdem sie entfuehrt wurden. Da werden aktuelle luckene und exploits aufgeschaltet. Womoeglich auch ueber den java exploit!

 

[wegus]

javascript problematik betrifft die Web-Server

NEIN! Es betrifft die Web-Browser denn Javascript läuft immer auf den Clients!
Ja auch die Java-Engine kann nat. Ziel eines Hacks sein, zumal wenn sie fehlerhaft ist. Daher ja auch der dringende Rat sie für den Web-browser zu inaktivieren. Die wenigsten Webseiten brauchen wirklich noch Java. Javascript ist beizeiten jedoch für fast jede Seite nötig. Ein abschalten daher faktisch ummöglich!

 

[SelonScience]

Die boesen Java-scripts werden den Webservern untergejubelt, und die Clients fuehren sie aus. Dies bringt die Clients auf die Seiten wo das System mit exploiten abgeklopft wird. Deshalb muessen alle luecken in OS/Apps sofort geschlossen werden, wenn sie gefunden werden. Und nicht erst wenn Schaden entsteht.

 

[Porschinger]

Bei X11 hat man auch eine relativ alte Version.

Der Sniffer Wireshark, vor ca. einem halben Jahr installiert, machte Probleme und so habe ich eine neue Version installiert, die beim Start immer abstürzt.

Eine nähere Untersuchung hat gezeigt, dass eine neuere X11-Bibliothek fehlt.

Die c't hat auch vor einigen Wochen moniert, dass die X11 Version mal erneuert werden sollte auf MACs.

Apple, die tun was ...

 

[wegus]

Javascript wird in Browsern ausgeführt! Selbst wenn Safari dort keine Fehler mehr aufweisen würde, so gibt es denn doch Leute die Firefox präferieren oder Opera!

Zudem sind Systeme etwas komplexer, schnelle Fixes können da schonmal eher das Gegenteil bewirken. Ein Fix muß vor allem eines sein: Gut! Erst danach kommt die Bedingung das er möglichst schnell da sein sollte.

Was die Lücke im Java von OS X angeht, kann man ganz klar sagen das ein Fix viel zu spät käme!

 

[chris25]

Bei X11 hat man auch eine relativ alte Version.

Da kann man, im Gegensatz zur Java-Engine, glücklicherweise einfach und bequem selbst Abhilfe schaffen.

http://xquartz.macosforge.org/trac/wiki

Viele Programme benötigen auch diese aktuellen X11-Versionen, man kommt um das apple-unabhängige Upgrade also manchmal gar nicht drumrum.

--

Zum Thema: Mittels des untergejubelten Javascripts kann man die Java-Sicherheitslücke natürlich ausnutzen, indem der präparierte Server, zu dem per Javascript umgeleitet wird, auch den Java-Exploit ausprobiert.

 

[cirus]

Im Netz schwirrt ja schon die Developer Preview 10.5 Java Update 4 rum.

Aber das installieren ist mir doch unheimlich.

Ich glaube ich warte wie sieht es denn mit Updates für X11 aus???

 

[blueman-benny]

Im Netz schwirrt ja schon die Developer Preview 10.5 Java Update 4 rum.

Stimmt...und mein erster Versuch mit Post #35 verlief zufriedenstellend

PS: Ich lasse das aber morgen nochmal gegenchecken von ein paar Arbeitskollegen - die sind in Java noch ein wenig fitter als ich. Ich werde berichten.

 

[blueman-benny]

Ich habe es eben im Java-Update-Thread schon gesagt, wiederhole es hier aber nochmal: Die Lücke ist nun für alle zu - und nicht mehr nur für die, die sich schon, wie ein Beitrag über diesem hier benannt, Java für OS X aus der ADC holen konnten.

 

[Hausbesetzer]

Auch wenns traurig ist wie lange das gedauert hat...

 

[Prof Farnsworth]

Bleibt abzuwarten, wie sich Apple da künftig verhält. Das Verhalten bei dieser Lücke war leider einfach inakzeptabel und wirkt doch sehr arrogant.

Die bereits angesprochene Fokussierung auf die mobilen "Spielekonsolen" verfolge ich auch mit Argwohn.

 

[SelonScience]

Wenigstens haben sie gerade 80 weitere Sicherheitsluecken mit geschlossen, obwohl etwa Java 1.6 nur auf den Stand der offiziellen Version 6 Update 13 gebracht, aktuell ist seit Anfang Juni Update 14 verfügbar.

http://www.heise.de/newsticker/Apple-schliesst-Luecke-in-Java--/meldung/140469