Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

0day dans Java

CanalGuada

Il paraît que c'est le moment de sortir couvert pour tous ceux ayant activé Java.

Tera8bit

"This vulnerability affects Java 7 (1.7) Update 0 to 6. Does NOT affect Java 6 and below."
Source : http://www.deependresearch.org/2012/08/java-7-0-day-vulnerability-information.html

nouvo09

Et comment ce malware peut s'installer dans des parties système sans qu'on soit connecté sous root ?

PapsOu

nouvo09 wrote:Et comment ce malware peut s'installer dans des parties système sans qu'on soit connecté sous root ?

Ca c'est une bonne question. Actuellement en formation dev (et Java comme par hasard) je voudrai bien comprendre aussi...

nouvo09

J'ai survolé l'article. A mon sens il est destiné aux utilisateurs de Java sous Windows et particulièrement ceux qui ne prennent pas la peine de créer un compte restreint utilisateur, en conservant le compte administrateur pour les seules tâches de maintenance.

WilQu

D’après l’exemple de code, on peut exécuter une commande arbitraire sur la machine de l’utilisateur à partir d’une applet java. Donc c’est gênant même sous linux et même si on n’est pas root (bien que ça limite les dégâts).

CanalGuada

Et ceci sans parler du cas où l'utilisateur se sera octroyé des droits supplémentaires via sudo... ou encore celui de l'installation d'un driver nVidia, pour citer un exemple assez récent, qui permet de les obtenir.

ben51

C'est une faille qui est sur la machine virtuel de Oracle, mais la retrouve ton sur l'openjdk ?

Philoux

Questions d'un nouvel utilisateur de Fedora :

- comment vérifer si Java (Sun) est activé ou non ?
- comment le désactiver si besoin ?

nouvo09

Tu vérifies dans les plugins de ton navigateur.

Sur firefox, dans Outils, modules complémentaires.

Rapty

nouvo09 wrote:Tu vérifies dans les plugins de ton navigateur.

Sur firefox, dans Outils, modules complémentaires.

par défaut nous devrions tous avoir IcedTea Web et cela depuis Fedora 15 normallement.
Cependant, dans quel mesure IcedTea Web est lui aussi impacté ?
Lui même se base bien sur Java ...

Et quid, comme le dit ben51, de la version openjdk ?

# yum info java*
Modules complémentaires chargés : langpacks, presto, refresh-packagekit
Paquets installés
Nom                 : java-1.7.0-openjdk
Architecture     : i686
Date                 : 1
Version             : 1.7.0.6
Révision            : 2.3.fc17.2
Taille              : 94 M
Dépôt               : installed
Depuis le dépôt     : updates
Résumé              : OpenJDK Runtime Environment
URL                 : http://openjdk.java.net/
Licence             : ASL 1.1 and ASL 2.0 and GPL+ and GPLv2 and GPLv2 with
                    : exceptions and LGPL+ and LGPLv2 and MPLv1.0 and MPLv1.1
                    : and Public Domain and W3C
Description         : The OpenJDK runtime environment.

Il reste le test de Sereinity pour nous rassurer que dans l'immédiat nous ne sommes pas immédiatement impactés.

Pikachu_2014

Rapty wrote: Cependant, dans quel mesure IcedTea Web est lui aussi impacté ?
Lui même se base bien sur Java ...

Il n'est pas affecté : https://bugzilla.redhat.com/show_bug.cgi?id=852051#c1

proxy

Pikachu_2014 wrote:
Rapty wrote: Cependant, dans quel mesure IcedTea Web est lui aussi impacté ?
Lui même se base bien sur Java ...
Il n'est pas affecté : https://bugzilla.redhat.com/show_bug.cgi?id=852051#c1

Certaines attaques : https://bugzilla.redhat.com/show_bug.cgi?id=852051#c12

Philoux

Merci pour toutes ces infos.
Pas de "IcedTea Web" chez moi, rien sous Firefox, me voilà rassuré !
Juste, au niveau système, le "Java Openjdk".

Cette petite histoire me fait remarquer que pour mon utilisation courante, Java ne me sert strictement à rien.
Quoique j'exagère, il doit me servir à déclarer les impôts en ligne, soit une fois par an ... :roll:

proxy

Oracle a fourni des correctifs pour le 6 et 7 : http://www.oracle.com/technetwork/topics/security/alert-cve-2012-4681-1835715.html#PatchTable

didierg

Une mise à jour est déjà disponible sur Koji

http://koji.fedoraproject.org/koji/packageinfo?packageID=12373

* Thu Aug 30 2012 jiri Vanek <jvanek@redhat.com> - 1.7.0.6-2.3.1.fc17.2
- Sync with rawhide - Updated to IcedTea-Forest 2.3.1
- Resolves rhbz#RH852051, CVE-2012-4681: Reintroduce PackageAccessible checks removed in 6788531.
- Commented out Patch500, java-1.7.0-openjdk-removing_jvisualvm_man.patch as as already included in this Iced-Tea.
- Will be nice to verify after next upstream sync if it is still upstreamed
- Add symlink to Fedora's default soundfont rhbz#541466

didierg

Rapty wrote:par défaut nous devrions tous avoir IcedTea Web et cela depuis Fedora 15 normallement.

Par défaut mais il ne faut pas oublier qu'il existe des différences entre IcedTea et le plugin Oracle et que certaines applications exigent donc l'utilisation du plugin Oracle...

Je pense en particulier aux applications de conférence utilisant l'audio...