Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
Java (JRE) probleem, v6.31 vs. v7.4+FX2.1
14-05-2012, 07:30 door Ilja. _V V, 9 reacties
Java (JRE) probleem, v6.31 vs. v7.4+FX2.1
Ok, ik snap het niet:
Ik heb een aantal ongeveer gelijksoortige computers, ze ontlopen elkaar niet echt veel zelfs qua merk & model, meeste XP, & 1 Windows 7.
Nu krijg ik op maar 1 van de XP's vorige week een update van Java 6.31 naar Java 7.4 plus FX 2.1 erbij. Die kreeg ik ook op de 7.
Java staat zo ingesteld dat ik een melding krijg wanneer er een update is, maar ik check sowieso elke 2de dinsdag van de maand om 2100 uur (Microsoft) alles met de hand.
Momenteel erken ik dus 2 problemen:
Ten eerste word de Java 7 versie tot nu toe alleen maar op bovenstaande 2 computers geinstalleerd.
Ik gebruik daarvoor altijd de Java controle-link http://www.java.com/nl/download/installed.jsp
Tot nu toe krijg ik dus op 4 van de 6 computers v6.32.
Ten tweede blijft dus op de 2 andere computers v6.31 stomweg staan!!!...
Ben ik nou helemaal gek aan het worden of doet Oracle iets fout? Of is er iets anders aan de hand waar ik geen weet van heb?
Ok, ik snap het niet:
Ik heb een aantal ongeveer gelijksoortige computers, ze ontlopen elkaar niet echt veel zelfs qua merk & model, meeste XP, & 1 Windows 7.
Nu krijg ik op maar 1 van de XP's vorige week een update van Java 6.31 naar Java 7.4 plus FX 2.1 erbij. Die kreeg ik ook op de 7.
Java staat zo ingesteld dat ik een melding krijg wanneer er een update is, maar ik check sowieso elke 2de dinsdag van de maand om 2100 uur (Microsoft) alles met de hand.
Momenteel erken ik dus 2 problemen:
Ten eerste word de Java 7 versie tot nu toe alleen maar op bovenstaande 2 computers geinstalleerd.
Ik gebruik daarvoor altijd de Java controle-link http://www.java.com/nl/download/installed.jsp
Tot nu toe krijg ik dus op 4 van de 6 computers v6.32.
Ten tweede blijft dus op de 2 andere computers v6.31 stomweg staan!!!...
Ben ik nou helemaal gek aan het worden of doet Oracle iets fout? Of is er iets anders aan de hand waar ik geen weet van heb?
Reacties (9)
14-05-2012, 21:15 door
Spiff has left the building
Door Ilja. _\\//: [...]
Ten tweede blijft dus op de 2 andere computers v6.31 stomweg staan!!!
Ten tweede blijft dus op de 2 andere computers v6.31 stomweg staan!!!
Bedoel je op die twee waarop is geupdate/geupgrade naar Java 7?
Dan deel je die ervaring met Anand, hier:
http://www.gratissoftwaresite.nl/downloads/Java+JRE#comment-7040
Zou het probleem mogelijk kunnen zitten in het updaten van een Java 6 serie versie met een Java 7 serie versie?
Als dat zo zou zijn, dan is dat hoe dan ook beroerd, die oude versie zou automatisch verwijderd horen te worden, zo lijkt me.
14-05-2012, 22:47 door
Bitwiper
Door Spiff: Zou het probleem mogelijk kunnen zitten in het updaten van een Java 6 serie versie met een Java 7 serie versie?
Als dat zo zou zijn, dan is dat hoe dan ook beroerd, die oude versie zou automatisch verwijderd horen te worden, zo lijkt me.
Uit http://weblogs.java.net/blog/enicholas/archive/2006/10/what_you_should_1.html: Als dat zo zou zijn, dan is dat hoe dan ook beroerd, die oude versie zou automatisch verwijderd horen te worden, zo lijkt me.
Door Ethan Nicholas op 2006-10-06: [...]
Java has always allowed you to keep multiple versions installed on the same computer at the same time. Whether you love this particular feature or hate it, there's no denying that it can be useful at times. Certainly as a developer I appreciate being able to have Java 5 and Java 6 on the same machine at the same time, and I know enterprises prefer to be able to certify their internal software against exactly one version of Java without worrying about employees accidentally changing the Java version out from under them.
But as with all significant decisions, there is no single right answer. What's right for developers and enterprises isn't necessarily as great in the consumer market, where users would generally prefer not to leave old versions of the software lying around after an upgrade.
[...]
2. Do I need to remove old versions of Java?
No. Applets and sandboxed Java Web Start programs aren't allowed to access older versions of Java. They don't pose any threat in the first place, so removing them won't change anything. If you do decide to remove older versions of Java, you need to be sure that none of the applications on your computer are using them first.
[...]
WRONG ANSWER! Lees verder...Java has always allowed you to keep multiple versions installed on the same computer at the same time. Whether you love this particular feature or hate it, there's no denying that it can be useful at times. Certainly as a developer I appreciate being able to have Java 5 and Java 6 on the same machine at the same time, and I know enterprises prefer to be able to certify their internal software against exactly one version of Java without worrying about employees accidentally changing the Java version out from under them.
But as with all significant decisions, there is no single right answer. What's right for developers and enterprises isn't necessarily as great in the consumer market, where users would generally prefer not to leave old versions of the software lying around after an upgrade.
[...]
2. Do I need to remove old versions of Java?
No. Applets and sandboxed Java Web Start programs aren't allowed to access older versions of Java. They don't pose any threat in the first place, so removing them won't change anything. If you do decide to remove older versions of Java, you need to be sure that none of the applications on your computer are using them first.
[...]
Uit http://blog.washingtonpost.com/securityfix/2008/07/remnant_java_versions_again_po.html:
Door Brian Krebs op 2008-07-10: [...]
Roughly two years ago, Sun quietly acknowledged in a security update that it had fixed a very similar flaw -- which allowed attackers to invoke older, insecure versions even if the latest, patched version was installed and set as the authoritative version to be used by both the operating system and the user's default Web browser.
[...]
That fix, bundled with JRE 5.0 Update 8, implemented an approach Sun called "secure static versioning." If you check out the "add-ons" installed in Internet Explorer, for example, (in IE7, click Tools, Internet Options, Programs, then Manage Add-Ons) you should see the filename of the plug-in that undertakes this task, called "ssv.dll".
[...]
Heasman said he ran the plug-in through a series of tests and eventually found a way to bypass its security checks and present the user with something of a Catch-22: Namely, a pop-up dialog box that says basically, "Hey, this Web site wants to run a Java program using an older version of Java than what's installed, is that okay?" What Heasman found was that even if the user clicks no to this prompt, he still could force the browser or operating system to revert to an older, vulnerable version of Java still installed on the system.
[...]
Kortom, oude Java versies op je systeem blijken onder bepaalde omstandigheden toch bereikbaar via je webbrowser. Om die reden, uit http://www.java.com/nl/download/faq/remove_olderversions.xml: Roughly two years ago, Sun quietly acknowledged in a security update that it had fixed a very similar flaw -- which allowed attackers to invoke older, insecure versions even if the latest, patched version was installed and set as the authoritative version to be used by both the operating system and the user's default Web browser.
[...]
That fix, bundled with JRE 5.0 Update 8, implemented an approach Sun called "secure static versioning." If you check out the "add-ons" installed in Internet Explorer, for example, (in IE7, click Tools, Internet Options, Programs, then Manage Add-Ons) you should see the filename of the plug-in that undertakes this task, called "ssv.dll".
[...]
Heasman said he ran the plug-in through a series of tests and eventually found a way to bypass its security checks and present the user with something of a Catch-22: Namely, a pop-up dialog box that says basically, "Hey, this Web site wants to run a Java program using an older version of Java than what's installed, is that okay?" What Heasman found was that even if the user clicks no to this prompt, he still could force the browser or operating system to revert to an older, vulnerable version of Java still installed on the system.
[...]
door Oracle, actueel: Waarom moet ik oudere versies van Java verwijderen van mijn systeem?
[...]
Het aanhouden van oude en niet meer ondersteunde versies van Java op uw systeem is een ernstig beveiligingsrisico.
[...]
Vanuit die pagina vind je aanwijzingen hoe je (oudere) Java versies kunt verwijderen van je systeem.[...]
Het aanhouden van oude en niet meer ondersteunde versies van Java op uw systeem is een ernstig beveiligingsrisico.
[...]
@Ilja. _\\// waarom sommige van je PC's wel en andere niet updaten weet ik niet. Draait op alle systemen "jus", de Java Update Scheduler service? Als de check-for-updates frequentie op bijv. elke week staat, kan het zijn dat je systemen onderling "out sync" zijn en je max 6 dagen moet wachten. Kan die JUS naar buiten connecten?
14-05-2012, 23:44 door
Spiff has left the building
Bitwiper,
Je citeert twee bronnen van respectievelijk oktober 2006 en juli 2008,
maar in oktober(!) 2008 is met Java 6 update 10 de verandering ingetreden dat met update van Java 6 update 10 en alle later volgende versies die versies automatisch verwijderd horen te worden bij update naar een volgende versie. Alleen Java versies ouder dan Java 6 update 10 worden niet automatisch verwijderd en moet je zelf verwijderen.
Zie bijvoorbeeld:
http://www.security.nl/artikel/23426/Sun_verwijdert_eindelijk_oude_Java_installaties.html
http://www.security.nl/artikel/39012/1/Oude_Java-_installatie_bedreigt_Windows-gebruikers.html
Ilja's Java 6 update 31 zou automatisch verwijderd hebben moeten worden bij update naar een nieuwe versie, meen ik op basis van dat bovenstaande.
Of zie ik nou iets over het hoofd?
Je citeert twee bronnen van respectievelijk oktober 2006 en juli 2008,
maar in oktober(!) 2008 is met Java 6 update 10 de verandering ingetreden dat met update van Java 6 update 10 en alle later volgende versies die versies automatisch verwijderd horen te worden bij update naar een volgende versie. Alleen Java versies ouder dan Java 6 update 10 worden niet automatisch verwijderd en moet je zelf verwijderen.
Zie bijvoorbeeld:
http://www.security.nl/artikel/23426/Sun_verwijdert_eindelijk_oude_Java_installaties.html
http://www.security.nl/artikel/39012/1/Oude_Java-_installatie_bedreigt_Windows-gebruikers.html
Ilja's Java 6 update 31 zou automatisch verwijderd hebben moeten worden bij update naar een nieuwe versie, meen ik op basis van dat bovenstaande.
Of zie ik nou iets over het hoofd?
15-05-2012, 01:56 door
Bitwiper
Wat ik probeer te zeggen is dat Sun/Oracle al vele jaren niet goed kan kiezen tussen enerzijds boze klanten omdat hun oude Java applicaties niet meer werken en anderzijds boze klanten met security problemen.
Op consumenten PC's speelt Java nauwelijks een rol. Dus luistert Oracle vooral naar de wensen van bedrijven. Beloftes om oude versies te gaan verwijderen zouden best wel eens zoethoudertjes kunnen zijn. Bovendien, in de praktijk werken veel automatische update mechanismes niet zoals we zouden willen.
Afgelopen donderdag heb ik nog als test de voorlaatste Adobe Flash op een PC geïnstalleerd, met het idee dat die wel automatisch zou updaten, zodat ik aan de eigenaar van die PC kon laten zien welke melding er komt. Na rebooten, browsers openen/sluiten, op youtube filmpjes draaien en 1 uur verder was ik het zat, toen heb ik maar handmatig geüpdate. Microsoft update heb ik zo ingesteld dat ie het meldt als er updates zijn. Plop, geel schilje, klik, doe maar dan! Vervolgens gebeurt er uren niks (het barst op internet van de scripts om wuauclt.exe "een zetje" te geven in zo'n geval maar ik heb niets gevonden dat betrouwbaar werkt - ik hou me aanbevolen). Ik zal wel ongeduldig zijn of zo maar 9 van de 10 keer start ik de update dan maar weer handmatig, want anders gaat ie updaten op een moment dat het MIJ niet uitkomt (en daar had ik die melding nu juist voor aangezet).
De nieuwe trend dat elke applicatie een service installeert om met SYSTEM rechten in de achtergrond "silently" updates te installeren is ook uiterst risicovol (ik zie trouwens ook steeds vaker services waarbij "interact with desktop" is ingeschakeld). Het wachten is op publicaties van privilege escalation kwetsbaarheden. Handmatig updaten is vervelend, maar als automatische updates onbetrouwbaar zijn (te laat, halve resultaten, oude rommel niet verwijderd), op onhandige momenten plaatsvinden, meer computerresources vreten, opstarten vertragen en zelfs nieuwe risico's introduceren, moeten we er dan wel zo blij mee zijn?
Sorry ik dwaal af. De verschillen tussen PC's die Ilja constateert kan ik niet verklaren zonder aanvullende gegevens over die PC's en instellingen. Daarnaast weet ik niet of Java een registratiemechanisme gebruikt waarbij de updater probeert vast te stellen of er applicaties op het systeem staan (of ooit hebben gestaan en/of gedraaid) die een bepaalde Java versies gebruiken, en afhankelijk daarvan besluit een oude Java versie wel/niet te verwijderen:
Op consumenten PC's speelt Java nauwelijks een rol. Dus luistert Oracle vooral naar de wensen van bedrijven. Beloftes om oude versies te gaan verwijderen zouden best wel eens zoethoudertjes kunnen zijn. Bovendien, in de praktijk werken veel automatische update mechanismes niet zoals we zouden willen.
Afgelopen donderdag heb ik nog als test de voorlaatste Adobe Flash op een PC geïnstalleerd, met het idee dat die wel automatisch zou updaten, zodat ik aan de eigenaar van die PC kon laten zien welke melding er komt. Na rebooten, browsers openen/sluiten, op youtube filmpjes draaien en 1 uur verder was ik het zat, toen heb ik maar handmatig geüpdate. Microsoft update heb ik zo ingesteld dat ie het meldt als er updates zijn. Plop, geel schilje, klik, doe maar dan! Vervolgens gebeurt er uren niks (het barst op internet van de scripts om wuauclt.exe "een zetje" te geven in zo'n geval maar ik heb niets gevonden dat betrouwbaar werkt - ik hou me aanbevolen). Ik zal wel ongeduldig zijn of zo maar 9 van de 10 keer start ik de update dan maar weer handmatig, want anders gaat ie updaten op een moment dat het MIJ niet uitkomt (en daar had ik die melding nu juist voor aangezet).
De nieuwe trend dat elke applicatie een service installeert om met SYSTEM rechten in de achtergrond "silently" updates te installeren is ook uiterst risicovol (ik zie trouwens ook steeds vaker services waarbij "interact with desktop" is ingeschakeld). Het wachten is op publicaties van privilege escalation kwetsbaarheden. Handmatig updaten is vervelend, maar als automatische updates onbetrouwbaar zijn (te laat, halve resultaten, oude rommel niet verwijderd), op onhandige momenten plaatsvinden, meer computerresources vreten, opstarten vertragen en zelfs nieuwe risico's introduceren, moeten we er dan wel zo blij mee zijn?
Sorry ik dwaal af. De verschillen tussen PC's die Ilja constateert kan ik niet verklaren zonder aanvullende gegevens over die PC's en instellingen. Daarnaast weet ik niet of Java een registratiemechanisme gebruikt waarbij de updater probeert vast te stellen of er applicaties op het systeem staan (of ooit hebben gestaan en/of gedraaid) die een bepaalde Java versies gebruiken, en afhankelijk daarvan besluit een oude Java versie wel/niet te verwijderen:
Door Ilja. _\\//: Of is er iets anders aan de hand waar ik geen weet van heb?
Zoiets dus.
15-05-2012, 09:05 door
S-q.
Ok; bovenstaande gelezen en ook ik val in verbazing;
(heb je vaker met eindgebruikers;-))
Gisteren bij toeval Java geinstalleerd op mijn netbookje.
Zag tot mijn verbazing een Java 7 versie 4 komen met daarna Java FX 2.1
Verbaast, ja omdat er doorgaans publikatie's omtrent Java versies verschijnen op security.nl
Heb ik iets gemist?
Vanmorgen, zojuist dus, van mijn W7 machine handmatig de reeds geinstalleerde Java versie 6 geupdate.
Jawel was een nieuwe update die keurig werd geinstalleerd. Maar wel van versie 6 dus.
Verbazing werd irritatie. Daarop Via de website van Java de laatste versie gevraagd. En jawel, daar kwam versie 7.4 met die FX2.1 aanzetten.
Ook ik constateerde dat de vorige versie -fris geupdate dus- niet werd verwijderd.
Mijn conclusie: Illja kan gerust zijn. Hij is in iedergeval niet gek.
Wel lijkt het mij dat er iets geks aan de hand is of iemand bij Oracle gek doet.
Waarom weet niemand van de redactie op te sporen wat Java aan het doen is?
Ik heb geprobeerd uit te vogelen wat er gaande is, maar mij lukt het tot dusver niet.
Weet nu iemand heel zeker dat het ook nu belangrijk is die oude -frisse- versie te verwijderen?
En wat precies doet di FX2.1 nu eigenlijk? Moeten we daar dan blij mee zijn?
Ik zie overigens dat die Anand waar Spiff naar verwijst, met soortgelijke onzekerheids gevoelens zit.
Wat is nu raadzaam?
(heb je vaker met eindgebruikers;-))
Gisteren bij toeval Java geinstalleerd op mijn netbookje.
Zag tot mijn verbazing een Java 7 versie 4 komen met daarna Java FX 2.1
Verbaast, ja omdat er doorgaans publikatie's omtrent Java versies verschijnen op security.nl
Heb ik iets gemist?
Vanmorgen, zojuist dus, van mijn W7 machine handmatig de reeds geinstalleerde Java versie 6 geupdate.
Jawel was een nieuwe update die keurig werd geinstalleerd. Maar wel van versie 6 dus.
Verbazing werd irritatie. Daarop Via de website van Java de laatste versie gevraagd. En jawel, daar kwam versie 7.4 met die FX2.1 aanzetten.
Ook ik constateerde dat de vorige versie -fris geupdate dus- niet werd verwijderd.
Mijn conclusie: Illja kan gerust zijn. Hij is in iedergeval niet gek.
Wel lijkt het mij dat er iets geks aan de hand is of iemand bij Oracle gek doet.
Waarom weet niemand van de redactie op te sporen wat Java aan het doen is?
Ik heb geprobeerd uit te vogelen wat er gaande is, maar mij lukt het tot dusver niet.
Weet nu iemand heel zeker dat het ook nu belangrijk is die oude -frisse- versie te verwijderen?
En wat precies doet di FX2.1 nu eigenlijk? Moeten we daar dan blij mee zijn?
Ik zie overigens dat die Anand waar Spiff naar verwijst, met soortgelijke onzekerheids gevoelens zit.
Wat is nu raadzaam?
15-05-2012, 11:43 door
Spiff has left the building
Off-topic bij de Java JRE update materie.
Maar relevant in reactie op wat Bitwiper schreef over een poging te laten zien hoe Adobe Flash Player automatisch update.
In het beste geval kan een Flash Player update al in een uur worden uitgevoerd, maar dat het langer kan duren is realistischer.
En belangrijk: de automatische Adobe Flash Player update is in essentie stil, de gebruiker krijgt helemaal geen melding te zien. Alleen wanneer je kiest voor niet automatisch updaten maar waarschuwen wanneer een update beschikbaar is, dan krijg je wel een melding.
Zie:
http://blogs.adobe.com/asset/2012/03/an-update-for-the-flash-player-updater.html
http://www.adobe.com/devnet/flashplayer/articles/background-updater-windows.html
Maar relevant in reactie op wat Bitwiper schreef over een poging te laten zien hoe Adobe Flash Player automatisch update.
Door Bitwiper, 01:56 uur: Afgelopen donderdag heb ik nog als test de voorlaatste Adobe Flash op een PC geïnstalleerd, met het idee dat die wel automatisch zou updaten, zodat ik aan de eigenaar van die PC kon laten zien welke melding er komt. Na rebooten, browsers openen/sluiten, op youtube filmpjes draaien en 1 uur verder was ik het zat, toen heb ik maar handmatig geüpdate.
De automatische Adobe Flash Player update wordt getriggerd door een taak in Windows Task Scheduler/ Taakplanner.In het beste geval kan een Flash Player update al in een uur worden uitgevoerd, maar dat het langer kan duren is realistischer.
En belangrijk: de automatische Adobe Flash Player update is in essentie stil, de gebruiker krijgt helemaal geen melding te zien. Alleen wanneer je kiest voor niet automatisch updaten maar waarschuwen wanneer een update beschikbaar is, dan krijg je wel een melding.
Zie:
http://blogs.adobe.com/asset/2012/03/an-update-for-the-flash-player-updater.html
http://www.adobe.com/devnet/flashplayer/articles/background-updater-windows.html
15-05-2012, 12:59 door
Bitwiper
Dank je wel Spiff!
Als je echt wil weten of je helemaal up to date ben ga dan langs
https://secunia.com/
Hier kan je online je pc laten scannen maar je kan het programma ook downloaden.
Werkt prima op mijn werk hebben ze het allemaal de functie in het PSI programma met auto-update is geweldig.
https://secunia.com/
Hier kan je online je pc laten scannen maar je kan het programma ook downloaden.
Werkt prima op mijn werk hebben ze het allemaal de functie in het PSI programma met auto-update is geweldig.
15-05-2012, 19:55 door
Spiff has left the building
Door Anoniem, 16:58 uur:
Als je echt wil weten of je helemaal up to date ben ga dan langs
https://secunia.com/
Hier kan je online je pc laten scannen maar je kan het programma ook downloaden.
Werkt prima op mijn werk hebben ze het allemaal de functie in het PSI programma met auto-update is geweldig.
Als je echt wil weten of je helemaal up to date ben ga dan langs
https://secunia.com/
Hier kan je online je pc laten scannen maar je kan het programma ook downloaden.
Werkt prima op mijn werk hebben ze het allemaal de functie in het PSI programma met auto-update is geweldig.
De Secunia Online Software Inspector (OSI) is mooi, maar het scant slechts op een vrij beperkt scala programma's, én het behoeft een geïnstalleerde Java. In het verband van dit topic zal Java aanwezig zijn, maar anderen hebben niet altijd Java geïnstalleerd.
Secunia Personal Software Inspector 2.0 (PSI) heeft géén Java nodig, en het scant een goed breed scala aan software op missende security-updates. Maar het door PSI laten uitvoeren van updates brengt een zeker risico met zich mee dat mogelijk een keer een ándere versie wordt geïnstalleerd dan je zou willen. Ben je zelf in staat je programma's te updaten, dan zou ik PSI liever alleen gebruiken om mee te checken, en liever niet om mee te updaten.
Zie ook Bitwipers commentaar van gisteren ma.14-5, 17:27 uur in déze thread:
http://www.security.nl/artikel/41484/1/Adobe_Flash_Player%2Cwelke_versie%3F.html
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
