Alarm over kritiek Java-lek op Windows, Mac en Linux

[Muppet]

hallo,

hartelijk dank Pjotr voor de supersnelle reactie.

voel me in elk geval een stuk geruster internetten  door het antwoord.

ik zal deze topic blijven volgen hoe het verder gaat en of het dan ook alleen de Oracle versie betreft of ook de openJDK versies bijv .................

groeten,

Willem

[RikRik]

Je hoeft Java niet uit te schakelen, zo lang je maar OpenJDK 6 gebruikt.

Vraag mij af , wordt OpenJDK 6  ook op beveiligingslekken getest door een Beveiligingsspecialist?

[alcmaer]

Op http://www.gratissoftwaresite.nl/tip-java-plugin-uitschakelen-uitzetten-in-internet-explorer-firefox-safari-opera meldt iemand:
Op Ubuntu gebruik ik de IcedTea-Web Plugin (icedtea-plugin 1.2-2ubuntu1.1).
Op de site http://www.isjavaexploitable.com/ is na te gaan of je een kwetsbare Java-versie hebt. Deze geeft bij ingeschakelde IcedTea de volgende waarschuwing:
"WARNING: Your Java version is exploitable! Java Version 6 Update 50 detected. To secure this system you should disable the browser plugin or uninstall Java."
Schakel ik de plugin uit, dan meldt de site:
"Java plugin was not detected. This indicates that either you don't have Java installed or it isn't enabled in this browser. This browser should be safe from drive-by exploitation via Java."
Elders lees je, dat IcedTea geen gevaar loopt, maar nu twijfel ik en hou hem voorlopig maar uitgeschakeld.

[Muppet]

hallo femke98,

heb de link gebruikt en volgens test geen java op de computer.

bedankt voor de tip

groeten,

willem

[Vistaus]

Je hoeft Java niet uit te schakelen, zo lang je maar OpenJDK 6 gebruikt.

Vraag mij af , wordt OpenJDK 6  ook op beveiligingslekken getest door een Beveiligingsspecialist?

Nee, maar de nieuwe OpenJDK 7 wel.

[Dave]

Dus vrienden en familie maar even waarschuwen...

Zou ik zeker doen om maar van die familiale verplichtingen af te raken.
Levert zoveel meer vrije weekenden op.

Verder zijn er maar zeer weinigen die java geïnstalleerd hebben volgens mij.
Enkel de plug-in voor de webbrowser.
Dus wat dat met het systeem zou kunnen doen in Linux?

[Vistaus]

De browser-plugin is affected en daarbij is Icedtea 7 en de browserplugin van Java allebei afhankelijk van Java

[Pjotr]

Oracle heeft vandaag Java 7u7 uitgebracht. Geen uitgavenotities kunnen vinden, maar het betreft waarschijnlijk de noodreparatie....

Ik heb mijn handleidingen direct bijgewerkt:
https://sites.google.com/site/computertip/java

Verder heb ik contact opgenomen met grizzler, over de Duinsoft-pakketbron.

[Vistaus]

Uitgavenotites staan gewoon op de website van Oracle bij het nieuws van Java Runtime Environment: http://www.oracle.com/technetwork/java/javase/7u-relnotes-515228.html

De enige fix die in Update 7 zit is deze: http://www.oracle.com/technetwork/topics/security/alert-cve-2012-4681-1835715.html

[Pjotr]

Dat is 'm dus. Gelukkig.

Grizzler heeft inmiddels de Duinsoftbron bijgewerkt met 7u7. Snel deze update binnensleuren, dus....

[Vistaus]

Oké, gelukkig dat dat inderdaad de fix is waar we op zaten te wachten (ik kon dat zo gauw niet opmaken uit de CVE dus dank voor de toelichting )

[asphyxia]

Oracle wist al sinds april van dit lek (wat heet, zo diep als de Marianentrog): http://webwereld.nl/nieuws/111616/-oracle-weet-al-maanden-van-kritiek-java-gat-.html .
Ook in het doorsnee nieuws: geen woord. Kijk, wij redden ons wel, maar over de vele mensen die wat minder security-websites lezen maak ik me wat meer zorgen...

[Vistaus]

De meeste van die mensen, asphyxia, lezen WC-eend UHM ik bedoel security.nl

Trouwens webwereld heeft het nog fout ook.
" Die allernieuwste versie van Java is dus kwetsbaar, terwijl de voorgaande versie 6 dat niet is"

Terwijl Oracle zelf zegt:

Affected product releases and versions: Java SE
JDK and JRE 7 Update 6 and before
JDK and JRE 6 Update 34 and before

[Soul-Sing]

ik gebruik openjdk

java version "1.6.0_24"
OpenJDK Runtime Environment (IcedTea6 1.11.3) (6b24-1.11.3-1ubuntu0.12.04.1)
OpenJDK Server VM (build 20.0-b12, mixed mode)

is dit de meest recente?

[Joris Donders]

Volgens de post van Vistaus loop je dus wel risico; snel updaten Leoquant.

[Soul-Sing]

openjdk gaat toch via de reguliere updates? waarom heb ik zo'n oude versie van openjdk?
vanmorgen had ik nog een icetea update.
verder, wanneer ik openjdk6 verwijder via synaptic, installeert automagisch openjdk7....bizar gedoe.

[Soul-Sing]

Volgens de post van Vistaus loop je dus wel risico; snel updaten Leoquant.

hoe?

[Vistaus]

Hou Java tóch nog maar even uitgeschakeld: http://tweakers.net/nieuws/84105/noodpatch-oracle-voor-kritiek-lek-java-bevat-nieuwe-kwetsbaarheid.html

[Tom]

openjdk gaat toch via de reguliere updates? waarom heb ik zo'n oude versie van openjdk?
vanmorgen had ik nog een icetea update.
verder, wanneer ik openjdk6 verwijder via synaptic, installeert automagisch openjdk7....bizar gedoe.

openjdk6 die wordt nog altijd officieel ondersteund (zie canonical logo ernaast in synaptic) daarom gebruik ik die ook.

[asphyxia]

openjdk gaat toch via de reguliere updates? waarom heb ik zo'n oude versie van openjdk?
vanmorgen had ik nog een icetea update.
verder, wanneer ik openjdk6 verwijder via synaptic, installeert automagisch openjdk7....bizar gedoe.

OpenJDK is gekoppeld aan de icedtea-plugin, leoquant. Als je icedtea installeert, komt openJDK vanzelf mee; dus wellicht dat een update van icedtea automagisch een nieuwe versie van openJDK meeserveert als die er is. Vermoed ik 
Ik vind het nog onduidelijk allemaal wat brak is en wat niet. Al een maand heb ik geen Java op m'n kubuntu-bak, en ik merk vooralsnog niets van minder functioneren. Ik krijg steeds meer het idee dat je prima zonder kunt.

[Soul-Sing]

openjdk gaat toch via de reguliere updates? waarom heb ik zo'n oude versie van openjdk?
vanmorgen had ik nog een icetea update.
verder, wanneer ik openjdk6 verwijder via synaptic, installeert automagisch openjdk7....bizar gedoe.

openjdk6 die wordt nog altijd officieel ondersteund (zie canonical logo ernaast in synaptic) daarom gebruik ik die ook.

Inderdaad gezien wanda. Maar nu maar even openjdk7 geinstalleerd. Oracle java kan er ook bij via de ppa van grizzler.
via java --alternatives is het dan kiezen uit de twee kwaden...

[Vistaus]

Nee, Grizzler kan er helemaal niet bij als je verstandig bent: http://tweakers.net/nieuws/84105/noodpatch-oracle-voor-kritiek-lek-java-bevat-nieuwe-kwetsbaarheid.html

[Roc.am]

Het advies blijft dan ook onveranderd: deïnstalleer Java, tenzij je het echt nodig hebt.

http://webwereld.nl/nieuws/111638/-java-noodpatch-bevat-nieuw-kritiek-lek-.html

-  Roc

[Dave]

Zou niet weten waarom

[Joris Donders]

Het advies blijft dan ook onveranderd: deïnstalleer Java, tenzij je het echt nodig hebt.

http://webwereld.nl/nieuws/111638/-java-noodpatch-bevat-nieuw-kritiek-lek-.html

-  Roc

Correct !! Gooi het gewoon er totaal af en wacht even tot een final solution er komt (en dat kan lang duren )