Oracle monsterpatch mist ernstig Java-lek
Oracle heeft gisteren een belangrijke update voor Java uitgebracht die in totaal 30 beveiligingslekken verhelpt, maar een ernstige kwetsbaarheid wordt pas in februari 2013 gepatcht. Dat zegt de Poolse beveiligingsonderzoeker Adam Gowdiak van het bedrijf Security Explorations tegenover Security.nl. De update van Oracle verhelpt wel 19 beveiligingslekken die Security Explorations eerder aan Oracle rapporteerde.
Via deze kwetsbaarheden kan een aanvaller uit de Java-sandbox breken om het onderliggende systeem over te nemen. Het gaat hier onder andere om de kwetsbaarheid die in een noodpatch voor een ander ernstig Java-lek werd ontdekt.
Februari
"Hoewel Oracle's update van oktober veel ernstige kwetsbaarheden in de software verhelpt, bevat het geen fix voor een ernstig beveiligingslek dat in alle Java SE versies, 5, 6 en 7, aanwezig is", aldus Gowdiak. Oracle liet de onderzoeker weten dat het van plan is om het lek tijdens de patchdinsdag van februari te dichten. In tegenstelling tot Microsoft dat elke maand met updates komt, brengt Oracle elk kwartaal updates uit.
In een verklaring waarom een update voor het ernstige Java-probleem is uitgesteld, stelt Oracle dat het bijna klaar was met het testen van de update van oktober, toen de melding over het nieuwe ernstig lek binnenkwam. Daardoor was het te laat om de update in de patchronde van oktober mee te nemen.
Iemand heeft bedacht dat de oneven nummers voor security updates zijn en de even nummers voor releases
met nieuwe features.
We gingen voor het grote publiek ook van 5 naar 7 terwijl daar tussen wel een versie 6 was voor de java addicten
waarin men voor het eerst de JavaFX spullen er standaard bij zaten.
(daarmee werd het installatie pakket weer 10MB groter)
Door gauw de Update 7 te installeren in verband met de security crisis trok je dus meteen ook een stuk nieuwe
functionaliteit naar binnen, waarvan we maar moeten hopen dat die niet weer nieuwe lekken introduceert.
Tussen 7 en 9 zit niet zo'n release, die heeft men van 8 opgeschoven naar 10.
Ik zou nog eens goed nadenken of je Oracle producten wel wilt gebruiken als er alternatieven zijn die wel actief aan hun beveiliging werken. Dat geldt dus niet alleen voor een Java VM, maar ook voor besturingssystemen en databases.
Ik zou nog eens goed nadenken of je Oracle producten wel wilt gebruiken als er alternatieven zijn die wel actief aan hun beveiliging werken. Dat geldt dus niet alleen voor een Java VM, maar ook voor besturingssystemen en databases.[/quote]
Nou dat lost zichzelf wel op. Ik zie de ene applicatie na de andere migreren naar Microsoft SQL Server.
(dwz alle applicaties die we op het werk draaien die nu op een andere database draaien die hebben aangekondigd
dat ze bij de volgende release gaan migreren)
Lijkt je dat beter?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
