Vlákno názorů ke zprávičce Další exploit pro díru v Javě je na prodej od Ikaros - To je opravdu implementace Javy od Oraclu tak...

To je opravdu implementace Javy od Oraclu tak zmršená a děravá, nebo to je prostě chyba co se našla?

Dôkazy? Resp. predorakulovské dôkazy?

Je to chyba v zaplate chyby, co sa uz nasla.

Na kazdeho raz prijde rad. Teraz je holt pod palbou java. Dufam, ze sa oracle pouci a zacne reagovat flexibilnejsie. O bezpecnost javy sa nebojim, skor sa bojim o jej meno.

Ona chyba není v Javě. Chyba je v jejím pluginu, který má dva protichůdné úkoly - dovolit "hodnému" kódu plnohodnotné fungování a neobtěžovat uživatele nějakým stahováním, potvrzováním nebo instalací, a to včetně přístupu k lokálním souborům atd. Druhý úkol je udržet "zlý" kód v sandboxu a neškodný. Bohužel se to nedaří a i "zlý" kód může podloudně získat práva, která by měl mít jen ten "hodný".

Díky tomu, co ten plugin všechno umí, tak jsme ve stavu, kdy i aplikace "na webu" dokáže vše, co ta lokálně instalovaná. Než si něco nainstaluji, tak si pořádně zkontroluji co to je, zda to není zavirované nebo to není nějaký backdoor. Těžko však mohu kontrolovat každý jeden applet, který se mi vloudí do prohlížeče. A na řešení "tak ať je java plugin zase jen sandbox" lidé a zejména firmy nechtějí slyšet, protože si zvykli na "plnohodnotné java aplikace běžící ve webovém prohlížeči".