Veiligheidsupdates voor Sun Java JRE

[Johan van Dijk]

@Wanda: Dan zul je toch moeten updaten. Want update 15 is allang uit, en die fixed bepaalde veiligheidsgaten. En ja, voor OpenJDK is versie 15 wél uit. En jij gebruikt versie 14.

Versie 14 is de goede hoor. Die heb ik ook binnengekregen met de updates.
Hier staat ook dat je 14 moet hebben: http://www.ubuntu.com/usn/usn-814-1

Versie 15 zit alleen in Karmic, voor Intrepid en Jaunty worden oudere versies bijgehouden.

[Vistaus]

Maar waarom willen we dan wel update 15 van Sun Java zo graag binnenkrijgen, als OpenJDK gewoon op 14 kan blijven? Is OpenJDK dan ook niet vulnerable?

[SpookieNL]

Ah, het Control Panel is gebroken. Hij zoekt naar het Control Panel van update 13, terwijl jij 15 geïnstalleerd hebt (net als ik).

Open de Menubewerker (rechtsklikken op Toepassingen en kiezen voor Menubewerker o.i.d.) en navigeer naar het mapje Voorkeuren (of Systeem>>>Voorkeuren). Verander het commando door dit commando:

/usr/lib/jvm/java-6-sun-1.6.0.15/bin/ControlPanel

Dat was hem! Hij doet het weer. Bedankt voor de assistentie.

[Vistaus]

Graag gedaan

[bas.]

Openjdk 6b14-1.4.1  icedtea plugin idem .. loopt geweldig bemerk echt geen verschil tussen deze en Sun java.
http://sites.google.com/site/hardy804lts/kk
Dit is een Java gevoelige Site.zie onder.
http://www.beurs.nl/koersen/AEX/p1 en hij gaat prima met Openjdk en icedtea plugin.

Werkt deze http://www.kaartspellen-online.nl/ site ook bij jou als je een spel wil spelen?.

[Johan van Dijk]

Maar waarom willen we dan wel update 15 van Sun Java zo graag binnenkrijgen, als OpenJDK gewoon op 14 kan blijven? Is OpenJDK dan ook niet vulnerable?

Voor OpenJDK zijn de versies die in Ubuntu gebruikt worden bijgewerkt.
Uit mijn logs:

Code: [Selecteer]

Commit Log for Tue Aug 11 15:33:01 2009


Upgraded the following packages:
icedtea-6-jre-cacao (6b14-1.4.1-0ubuntu10) to 6b14-1.4.1-0ubuntu11
icedtea6-plugin (6b14-1.4.1-0ubuntu10) to 6b14-1.4.1-0ubuntu11
openjdk-6-jre (6b14-1.4.1-0ubuntu10) to 6b14-1.4.1-0ubuntu11
openjdk-6-jre-headless (6b14-1.4.1-0ubuntu10) to 6b14-1.4.1-0ubuntu11
openjdk-6-jre-lib (6b14-1.4.1-0ubuntu10) to 6b14-1.4.1-0ubuntu11

Volgens mij mag dat licentie-technisch wel bij OpenJDK, maar mag de source van Sun Java niet zomaar worden bewerkt. In dat geval moet je iedere keer overstappen op de nieuwe versie.

[testcees]

Maar waarom willen we dan wel update 15 van Sun Java zo graag binnenkrijgen, als OpenJDK gewoon op 14 kan blijven? Is OpenJDK dan ook niet vulnerable?

De versie blijft hetzelfde maar eventuele veiligheidsfixes worden aangebracht en opnieuw gecompileerd tot een nieuwe sub-versie. Let op dat in 9.04 java update 15 het sub-versie (volgnummer) 11 heeft. Kijk op dit overzicht in Launchpad: https://launchpad.net/ubuntu/+source/openjdk-6

Met andere pakketten werkt het ook zo in Ubuntu: Een volgende versie komt pas in het volgende release tenzij er veiligheidsfixes zijn (dan komt er een sub-versie zoals hierboven).

[Johan van Dijk]

Werkt deze http://www.kaartspellen-online.nl/ site ook bij jou als je een spel wil spelen?.

Die werkt niet. Blijkbaar controleren ze alleen op Sun Java, want ik krijg de melding dat ik geen Java zou hebben.

[Tom]

Code: [Selecteer]

Werkt deze http://www.kaartspellen-online.nl/ site ook bij jou als je een spel wil spelen?.
Ik kom er op maar echt spelen gaat niet zolang je geen account hebt.
En ik speel geen kaart  8) alleen schaken.

[bas.]

Je zou ook als gast kunnen spelen hoor maar ik krijg ook de melding dat ik geen java heb.
Ik speel ook geen kaartspellen hoor maar ik ken deze omdat mijn vader hier wel op speelt, en verder ken ik niet echt een java site uit mijn hoofd.
Ik kan alleen bij plugins in FF de icedtea plugin niet vinden.

[Johan van Dijk]

Werkt deze http://www.kaartspellen-online.nl/ site ook bij jou als je een spel wil spelen?.

Die werkt niet. Blijkbaar controleren ze alleen op Sun Java, want ik krijg de melding dat ik geen Java zou hebben.

Ehhh. Ik heb blijkbaar wat zitten te prutsen in Firefox
Het werkt wel. Met de Icedtea plugin.

[bas.]

Heb ik soms de verkeerde versie geinstalleerd?

[Tom]

Heb ik ook zo.

[bas.]

Bij mijn plugins zie ik hem niet staan 

[Johan van Dijk]

Kunnen de losse vragen over Java (die dus niets te maken hebben met een security update) misschien afgesplitst worden naar een nieuw topic? We gaan zo wel erg off topic hier.

[testcees]

De laatste reactie van Jamie Strandboge verwijst naar een beleidsstuk over 8.04 LTS voor dit pakket:
https://wiki.ubuntu.com/StableReleaseUpdates#sun-java*

Heel interessant, voor zover mijn engels reikt, maar ik hieruit op dat optie 1 van Pjotr (gewoon doorvoeren zonder uitgebreid testen) het beleid wordt (Proposed amendment, to be signed off by Technical Board) voor het sun-java pakket in LTS.

Wat nu? Wanneer/hoe wordt dit "signed"?

De vraag blijft dan 8.10. Zo te lezen is deze uitzondering alleen voor de LTS versie geformuleerd.

[Johan van Dijk]

Zoals te lezen in de laatste reactie op de bug zijn er nu pakketten voor Hardy en Jaunty.
Die zitten in de proposed updates en moeten getest worden.
Ik heb ze in Jaunty al getest en ze werken prima. Als jullie ze ook testen moet je dat vooral melden in de nieuwe bug die genoemd staat.

Waarom er geen update komt voor Intrepid weet ik ook niet. Misschien omdat het geen LTS is, en omdat het ook niet de laatste stabiele versie is? Dit zou dan ook betekenen dat wanneer Karmic uit komt, je alleen updates krijgt voor Hardy en Karmic.

Als ik de wiki goed begrijp willen ze inderdaad minder uitgebreid testen. Blijkbaar zijn de uitgebreide testen voor LTS-versies te tijdrovend voor een pakket waarvan de source niet eens open is.

Misschien is dit toch een goede gelegenheid om eens te kijken of OpenJDK nu wel goed genoeg is. Een van de redenen om Sun Java te gebruiken was bijvoorbeeld Frostwire of een ander pakket dat met Java werkt. Een korte zoeksessie via Google levert op dat die programma's nu ook zouden moeten werken met OpenJDK.

Een ander probleem is dat OpenJDK momenteel niet werkt in Firefox 3.5: https://bugs.launchpad.net/ubuntu/+source/openjdk-6/+bug/359407
Als die bug opgelost is zie ik weinig problemen met OpenJDK. In principe zou iedereen OpenJDK moeten gebruiken, tenzij er iets is dat echt niet werkt.
In dat geval kan je Sun Java aanraden, met daarbij de kanttekening dat je zelf voor de security updates moet zorgen.
Hiermee vang je zo goed als alle problemen wel af denk ik.

[Pjotr]

Een mooi succes voor Ubuntu-NL, want wij hebben hiervoor het initiatief genomen! Schouderklopjes voor ons allen, en een speciale pluim voor testcees, die de foutmelding op Launchpad is begonnen.   

Dit hebben we met z'n allen toch maar mooi voor elkaar gekregen. 

[Roel1963]

Misschien is dit toch een goede gelegenheid om eens te kijken of OpenJDK nu wel goed genoeg is. Een van de redenen om Sun Java te gebruiken was bijvoorbeeld Frostwire of een ander pakket dat met Java werkt. Een korte zoeksessie via Google levert op dat die programma's nu ook zouden moeten werken met OpenJDK.

Is dat zo? Bij installeren van Frostwire met de .deb wordt automatisch Sun Java meegenomen. Wil je daarna van Sun af, dan gaat Frostwire mee.

Ik kan dat niet echt omzeilen...

[testcees]

Bedankt maar de launchpad melding heeft in 1e instantie alleen backport ppa's opgeleverd. De reacties van Pjotr hebben voor een een "echt" pakket en een meer structurele oplossing gezorgd: Voor het LTS release is nu een aangepaste beleid in de maak. De speciale pluim is dus voor: Pjotr.

[Pjotr]

Voor Intrepid gaat het er definitief niet van komen.... Zie bijgevoegde schermafdruk.

Vriendelijke man, die Matthias.... Maar we hebben 90 % van de buit binnen (Hardy en Jaunty), dus ik laat het hierbij.  8)

Overigens is het, denk ik, wel verstandig als we dit pakket in de toekomst goed in de gaten blijven houden. Dan kunnen we er meteen bovenop zitten als het in de toekomst weer mis gaat.

Ik maak in elk geval een bladwijzer van de relevante pagina op de webstek van Sun: http://java.sun.com/javase/6/webnotes/ReleaseNotes.html

--toevoeging--
Ik heb de titel van deze draad veranderd in "Veiligheidsupdates voor Sun Java JRE", want dat is een vlag die de lading beter dekt. En die ook het belang van deze draad beter tot uitdrukking brengt.

[testcees]

Ter info, en on-topic (Engelstalig): https://wiki.ubuntu.com/StableReleaseUpdates?action=diff&rev1=132&rev2=133

[Johan van Dijk]

Overigens is het, denk ik, wel verstandig als we dit pakket in de toekomst goed in de gaten blijven houden. Dan kunnen we er meteen bovenop zitten als het in de toekomst weer mis gaat.

Dat is dan alleen belangrijk voor Hardy en Intrepid. Die moeten haast wel gebruik maken van Sun Java.
Jaunty en nieuwer kan prima werken met OpenJDK. Zodra Intrepid niet meer ondersteund wordt, krijgt alleen Hardy nog de veiligheidsupdates.
Iedereen die Jaunty of nieuwer gebruikt zou gewoon OpenJDK moeten gebruiken. Die is tegenwoordig gecertificeerd dus zou moeten werken. Zo niet, dan kan je een bug daarvoor aanmaken. Voor Sun Java een bug aanmaken heeft weinig zin, aangezien het een closed-source pakket is waar Ubuntu weinig aan kan veranderen.

[Roel1963]

Dat is dan alleen belangrijk voor Hardy en Intrepid. Die moeten haast wel gebruik maken van Sun Java.
Jaunty en nieuwer kan prima werken met OpenJDK. Zodra Intrepid niet meer ondersteund wordt, krijgt alleen Hardy nog de veiligheidsupdates.
Iedereen die Jaunty of nieuwer gebruikt zou gewoon OpenJDK moeten gebruiken. Die is tegenwoordig gecertificeerd dus zou moeten werken. Zo niet, dan kan je een bug daarvoor aanmaken. Voor Sun Java een bug aanmaken heeft weinig zin, aangezien het een closed-source pakket is waar Ubuntu weinig aan kan veranderen.

Wat wordt er bij Jaunty gedaan bij de installatie van Frostware? Alsnog Sun Java geïnstalleerd?

[Pjotr]

Overigens is het, denk ik, wel verstandig als we dit pakket in de toekomst goed in de gaten blijven houden. Dan kunnen we er meteen bovenop zitten als het in de toekomst weer mis gaat.

Dat is dan alleen belangrijk voor Hardy en Intrepid. Die moeten haast wel gebruik maken van Sun Java.
Jaunty en nieuwer kan prima werken met OpenJDK. Zodra Intrepid niet meer ondersteund wordt, krijgt alleen Hardy nog de veiligheidsupdates.

Intrepid is helaas afgeschreven voor wat betreft JRE. Matthias Klose verd*mt het, om ook daarvoor het veiligheidsupdatepakket ter beschikking te stellen.

Of we zonder JRE kunnen in de nieuwere versies (Jaunty en hoger), betwijfel ik. Hoe dan ook: als ze geen veiligheidsupdates beschikbaar willen maken voor JRE in de nieuwere versies, dan moeten ze het pakket überhaupt niet meer ter beschikking stellen voor de nieuwere versies. Met een grote boog uit de pakketbron donderen dus.

Ik ben er niet geheel gerust op, dat het voortaan, bij nieuwe veiligheidsupdates voor JRE, goed zal gaan. Daarom is enige waakzaamheid geboden, denk ik.