Individuata una pericolosa falla in Java 7.0: i dettagli

[gianpietro]

Per maggiori informazioni vedi qui:

http://www.ilsoftware.it/articoli.asp?t ... tagli_9073

[sampei.nihira]

E come al solito le istruzioni per Opera.....
Provvediamo.
Chi vuole disattivare l'esecuzione dell'applet JAVA basta che attivi la spunta dell'esecuzione dei plugin (quindi anche JAVA) solo su richiesta.
Strumenti-preferenze-avanzate contenuti.
Coloro che invece vogliono procedere alla disattivazione del plugin basta che digitano come Chrome:

about:plugins

la disattivazione del plugin specifico comporta la possibilità di riattivazione quando si entra in una pagina web con contenuti java.

[Giascar]

Potrei sbagliarmi, ma il plug-in Java in Chrome è disabilitato di default. In caso ne venga richiesta l'esecuzione, lo stesso browser chiede l'intervento dell'utente con apposito avviso.

EDIT: pardon, ho letto male ed ho interpretato male il messaggio di sampei. Potete anche cancellare il post.

[devicepenguin]

Potrei sbagliarmi, ma il plug-in Java in Chrome è disabilitato di default.

Infatti ti sbagli L'ho dovuto disabilitare con about:plugins come indicato da sampei.

In caso ne venga richiesta l'esecuzione, lo stesso browser chiede l'intervento dell'utente con apposito avviso.

Questo è quello che accade se una pagina ha bisogno del plugin

Edit:Ho letto dopo il tuo messaggio Giascar

[sampei.nihira]

C'è inoltre una terza opzione che entra in gioco con la possibilità del blocco del plugin a default,ovviamente sempre con Opera, che ieri non avrei citato per precauzione.
Tramite la funzione "modifica le preferenze per questo sito" è possibile abilitare l'esecuzione dell'applet java a default in quei siti web che riteniamo (non sò se a torto o ragione) non soggetti a modifiche malevole.
Ciò elimina per l'utente un po' di fastidio.

[sampei.nihira]

Posso confermare anche io,come si è letto da qualche parte, che JAVA 6 update 34 non è soggetto all'exploit.
Gli utenti che hanno un bisogno estremo di usare JAVA potrebbero prendere in considerazione una disinstallazione della 7 ed un passaggio alla ver 6.

[sampei.nihira]

Ragazzi è disponibile l'aggiornamento 7 update 7 correte ad aggiornare il vostro JAVA.

Questa volta mi sento di elogiare il team del sw.
Che vista la pericolosa situazione è corsa nel minor tempo possibile a patchare la falla.

Consiglierei di mettere in risalto anche la pagina di test di exploit naturalmente consiglio ogni lettore di effettuare la prova:

http://www.isjavaexploitable.com/

Ecco che al test la nuova ver appare immune all'exploit:

Uploaded with ImageShack.us

[gianpietro]

Gravissimo bug in Java 7, Oracle sapeva da mesi.

Per maggiori informazioni vedi qui:

http://www.pc-facile.com/news/gravissim ... /71963.htm

[sampei.nihira]

Gravissimo bug in Java 7, Oracle sapeva da mesi.

Per maggiori informazioni vedi qui:

http://www.pc-facile.com/news/gravissim ... /71963.htm

Non avevo visto questo tuo intervento Gianpietro.
Non è quello il punto,secondo me.
JAVA è un sw altamento pericoloso perché presenta una notevole superficie di attacco indipendente.
Oltretutto sfruttata da remoto con successo.

Per esempio nonostante la patch ultima gli utenti devono sempre considerare che un sw suigeneris può sempre avere dei bugs non scoperti.
Che saranno per giunta sfruttabili da remoto ed altamente pericolosi se non altro per motivi statistici e di storico bugs.
E già si vocifera che ci sono altri bugs aperti in JAVA 7 update 7.
Anzi si legge inoltre che l'ultima versione di JAVA 6 sarebbe se non altro più sicura.

Quindi mi chiedo se non sarebbe meglio informare gli utenti di ciò e consigliarli di eliminare la ver 7 e ritornare alla 6.....

Ci siamo fin quì ?

Quindi chi installa JAVA deve, come minimo, considerare questi contro.
Ed attuare tutte le tecniche di mitigazione che sono state consigliate in precedenza.

Per esempio, io non uso I.E. ,ma si legge nell'articolo sotto che l'applet java con I.E. è più difficile da "fermare" rispetto ad altri browser per le molte variabili che intervengono:

http://krebsonsecurity.com/how-to-unplu ... e-browser/

quindi chi installa JAVA ed usa I.E. è certamente più a rischio di altri utenti che hanno parimenti JAVA ma usano altri browser.

[farbix89]

Per informazione:

La falla non è sfruttabile su sistemi GNU/Linux, si può tenere qualsiasi versione e qualsiasi browser scelto,senza scendere nel panico o aggiornare a versioni vecchissime come Java 6 che non ha alcune funzionalità innovative per navigare sul web.

Anche non aggiornando i sistemi unix sono i più adatti agli utenti "sbadati" che usano software buggati e non aggiornano ;)

[sampei.nihira]

Sarei per consigliare di non procedere alla sostituzione di java 7 con 6.