Java: Update für kritische Sicherheitslücke öffnet kritische Sicherheitslücke

unter windows ist java mit seiner schlechten update funktion einfach zu gefährlich deswegen hab ich es deinstalliert.
die paar java programme die ich nutze wie den jdownloader oder minecraft verwende ich nur mehr unter linux mit OpenJDK.

besonders leute die sich nicht so sonderlich am pc auskennen und die lästigen fenster immer nur weg klicken sollten java besser gleich ganz löschen.

und es geht aus den Foren jetzt nicht hervor ob die Transaktionen mit Hilfe der Bürgerkarte durch Java 7 nun einem Risiko ausgesetzt sind.
Daher meine Profezeihung: Die Turing Maschine geht wegen der Vernetzung ihrem Ende entgegen. Es wird anders rum laufen müssen - jedes Programm hat ein Zertifikat das auf dem Zielsystem die erforderlichen Funktionen freischaltet.

Oracle hat überhaupt nicht schnell reagiert. Die hatten das POC schon lange, natürlich wurde man erst aktiv als die Lücke auch publik wurde. Da MUSSTE man quasi etwas tun. Vorher interessierts ja keine Sau!

Kann alle Bug-Hunter verstehen welchen es reicht, von Herstellern auf Hinweise ohnehin kein Feedback zu bekommen.
Google machts bei Chrome vorbildhaft: da gibts dick Knete fürs finden von neuen Lücken. Es wird nichts versteckt sondern offensiv damit umgegangen. Davon ist man bei den meisten anderen aber WEIT entfernt.

Gibt es eine Möglichkeit zu verhindern, dass sich das Java-Plugin im Browser wieder aktiviert, wenn man ein Java-Update installiert?
Also eine Java-Installation ohne Browser-Plugin?

Einfach das Plugin "QuickJava" installieren und damit abdrehen.

https://addons.mozilla.org/en-US/fir... quickjava/

vielen Dank!

Gibt es auch Möglichkeiten für andere Browser?

Wenn es ein privater Rechner ist: OpenJDK statt Sun Java. Da muss man (zumindest unter Ubuntu) das Plugin extra installieren, es ist nicht bei der JRE dabei.

Alles richtig gemacht.

aber gab es nicht schon im Java 5 eine ähnliche kritische Sicherheitslücke? oder täusche ich mich da?

Java eigentlich NUR mit irgendwelchen Sicherheitsluecken , script backdoors etc etc etc.

Die beste Loesung: Browser absichern (zB mit noscript) und daruber hinaus , nicht verwenden.

Noscript für Java-Applets einzusetzen finde ich übertrieben. Firefox bietet eine einfache Einstellungsmöglichkeit: plugins.click_to_play
Ist dies auf True gesetzt, muss man jedes eingebettete Objekt, welches Plugins zur Darstellung benötigt, zuerst anklicken, bevor es geladen wird.

@Andreas Grois

> Noscript für Java-Applets einzusetzen finde ich
> übertrieben

Finde ich absolut nicht - schließlich gibt es genügend Exploits für JavaScript, Flash und andere aktiven Inhalte und so ist NoScript dringend anzuraten.
Nebenbei lassen sich XSS-Angriffe und - dank dem standardmäßig deaktivierten und nur auf explizit freigegebenen Seiten/Domains zugelassenen JavaScript auch noch "Drive-by" Exploits auf gehackten Webseiten (Exploits finden sich verstärkt auf "seriösen" Seiten und nicht mehr nur auf Crackz/Porn-Seiten) verhindern.

Vesuchen sich da Firmen wichtig zu machen mit Warnungen? Firefox beschäftigt mich auch schon ausführlich damit was zu überprüfen und upzudaten. Ich will aber arbeiten und der Wartungsaufwand für das dauernde Updaten geht mir sowas auf den Geist. Wenn die nicht bald eine LTS-Version rausbringen werde ich mir was anderes überlegen müssen.

die paar sekunden warten beim starten vom firefox alle paar wochen ist dir schon zu viel ?

was eine LTS-version ist dürfte dir auch nicht klar sein denn das bedeutet keines wegs dass es keine oder weniger updates gibt , das bedeutet nur dass es über einen längeren zeitraum garantiert updates gibts denn LTS steht für - Long Term Support -

Also beim FF updatet es sich überhaupt gar nicht - ich muss ihn erst im Admin Modus starten dass das passiert!
PS: Aurora habe ich gerade deinstalliert weil das total korrumpiert war und das ist bei LTS nicht nötig was ganz neu zu installieren.

ähm wir sind jetzt bei firefox 15.0.1

was du installiert hast ist eine prealpha , warum installierst du dir so etwas wenn dich schon einfache updates nerven ?

hatte beides und der FF sowie der TB von mozilla updaten nur im Admin Modus - unter windows 2000 machten sie es ungefragt immer nun das Schlamassel. Da fährst immer mit einer veralteten Version.

Man kann natürlich auch das Ausführen von Scripts im Browser ausschalten (in den meisten neueren Browsern gibts diese funktion), aber das schließt die Sicherheitslücke genrell nicht ... und seit jede Webseite mit irgenden Scriptblödsinn daherkommt machts gleich weniger Spaß.

Updates sind nur für Wichtigtuer und Waschlappen. Echte arbeitsfrohe Männer mit Mumm surfen seit 17 Jahren mit dem Internet Explorer 1.0!

http://metasploit.com/modules/e... jre17_exec

Ich verwende eigentlich nur mehr OpenJDK und bin recht zufrieden. Hatte Anfang vorigen Jahres noch ein Problem mit einer Clientapplikation, Problem wurde aber schnell behoben.

Von Oracle Java hört man eigentlich ständig nur, das sie patzen...

OpenJDK hat dieselbe Schwachstelle!

O'Reilly?

Code execution was confirmed with the latest Oracle and IBM Java 7 web browser plugin. IcedTea-Web using OpenJDK7 blocks this exploit by not allowing applet to change the SecurityManager (which is allowed in Oracle and IBM Java plugin).

https://bugzilla.redhat.com/show_bug.... ?id=852051

Von welchem Bug reden Sie?

Gibts da eine Quelle? Sämtliche Fragen in Foren zu diesem Thema, die ich bisher gelesen habe waren leider unbeantwortet.

Lässt sich das auch als Enduser anstatt der Oracleversion einsetzen?