- Tombol az AI-láz: az NVIDIA már értékesebb, mint az Apple
- Aliexpress tapasztalatok
- Megpróbálják a spanyolok: megvédenék a gyerekeket a közösségi médiától
- A Biden-kormányt is zavarja a big tech és az adatközpontok energiaéhsége
- Windows 10
- Telekom otthoni szolgáltatások (TV, internet, telefon)
- Kodi és kiegészítői magyar nyelvű online tartalmakhoz (Linux, Windows)
- 10 éve nem változott ekkorát a Netflix tévés appja
- Windows 11
- Autodesk - Revit
Új hozzászólás Aktív témák
-
floatr
veterán
Amire én gondolok, az a java szerver pozicionálása. Általában úgy használják, hogy egy frontend szerver mögött van eldugva az alkalmazásszerver - kívülről védett. Belülről értelemszerűen megbízható rendszerek érhetik el - hacsak a belső rendszer nem átjáróház, megint csak elég sovány a dolog. Ha létezik OS szintű privilégiumszint eszkaláció, akkor egy helyi felhasználó támadhatja a rendszert - eltekintve a java hosting szerverektől szintén ritka, hogy problémás júzerek támadnának. Meg ha támadnának is, akkor erre adódhat jóval több lehetőségük, mint a JRE. De még várom azt az OS szintű PE exploitot, amivel ezt meg lehet(ett) tenni.
Amit a cikkben elemezgetnek, az a sandboxról szól. Elég gáz ez is, de JRE/plugin probléma, nem a "nyelvé".
-
dtracer
tag
Aha, szóval a kedves programozó volt szíves neked beleírni a kódba egy "hibás fgv-t", (persze az általad linkelt cikk az egy osztály engedélyeinek kijátszásáról szól, nem pedig programozási hibáról). Valamint azt is meg fogja neked nézni, hogy a kedvedért meghívhatja-e. Csak neked. Értem. Teljesen mindennapi probléma.
[ Szerkesztve ]
-
floatr
veterán
Ezek szerint a "ha" kimaradt. Csak azért kötöm az ebet a karóhoz, mert nem konkrétumokról beszélsz, hanem csak általában lehetőségről. A file upload már valami, de még mindig nem az, amitől a java-nak önmagában pusztulni kéne (hibás az apache, pusztuljon c/c++). Ettől sokkal komolyabb exploitok voltak az utóbbi időkben openssl-re, x11-re, apache httpd-re meg kitudja még mi a rákra - local meg remote is. Ráadásul egy rakat ilyen sokáig még akkor is foltozatlan maradt, amikor kiderült a hiba, ezek szerint akkor mindezeknek pusztulni a kéne
A plugines dolgokkal én sem vagyok kibékülve, de a jws alkalmazásokkal (pl. abev) már hadd ne legyen probléma, ha a user dönti el, hogy akarja-e használni. A szerver dolgait illetően meg még mindig nem értünk egyet. A runtime hibák nagy része a sandbox-szal kapcsolatos. Amit linkeltél, az is. Ettől függetlenül nekem sem tetszik, ahogy az oracle kezeli a dolgokat.
De akkor meg rettegjetek, mert a bankok vakmerően használják
-
floatr
veterán
Egy kicsit félreértesz "minket". Alapvetően én is frissítéspárti vagyok, csak láthatóan nem érted, vagy nem akarod érteni a problémát. Vagy egyszerűen nem ismered.
Java esetében hatványozottan igaz az, hogy ami nem romlott el, azt nem akard megjavítani. Az utóbbi években ez a kevésbé figyelmes rendszergazdáknál is lejöhetett, hogy a Java update nem patch-elés. Sok dolog változik egy új release-ben, és odavághat olyan technológiáknak, amik egy nappal korábban még tökéletesen működtek. A JRE 1.7.0 apache komponenseket vágott gallyra. A tavaszi biztonsági frissítések miatt az appletek és a JWS alkalmazások voltak szopóágon. A legutóbbi frissítés (j8u11, j7u65) a JRebel-t és a Groovy-t nyírta ki, szintén desktop oldali biztonsági kötélhúzás okán.
Szóval hacsak nincsen valami konkrét és komoly exploit a szerver oldalon, egy épelméjű support nem fogja kockáztatni a vállalat rendszerének teljesen ufó lerohadását egy nagyon korlátozott elérhetőségű alkalmazásszerver vélt sérülékenységének feltételezett javítása érdekében.
(#31) VaniliásRönk véletlenül azt hitte, hogy a dalvik is java runtime A szerver sérülékenységét, meg most próbálják igazolni helyi levezetéssel. A szerver-oldali dolgokról még a komolyabb szagemberek is annyit mondanak csak, hogy untrusted 3rd party komponensek, amiben nyilván bele lehet futni, ha az ember azt sem tudja, mit épít az alkalmazásba. Volt már erre példa (mármint JAR-okat feleslegesen halmozó emberek) de nem voltak hosszú életűek komolyabb projektekben. Szóval megint egy olyan dolgot erőltetnek itt páran, amiről láthatóan nem tudnak többet mondani, mint az általános szövegek.
[ Szerkesztve ]
Új hozzászólás Aktív témák
- Parfüm topik
- Megérkezett Magyarországra az LG 480 Hz-es OLED monitora
- Kerékpárosok, bringások ide!
- T Phone 2 5G - kétszer olyan jó
- Konzolokról KULTURÁLT módon
- Computex 2024: asgardi ASUS ROG UPS játékosoknak
- Politika
- iPhone topik
- Milyen légkondit a lakásba?
- NVIDIA GeForce RTX 4080 /4080S / 4090 (AD103 / 102)
- További aktív témák...
Állásajánlatok
Cég: Ozeki Kft.
Város: Debrecen
Cég: Alpha Laptopszerviz Kft.
Város: Pécs