Чашка с кофе снова дала трещину

Мне вот интересно, зачем «исследователь» выставляет проблему на всеобщее обозрение? Тихо бы доложил ораклу и получил бы плюшки.

З.Ы. Kindly_Cat, хватит менять юзерпик :)

Чтобы оракл быстрее исправил. Типа даю вам 10 дней и выкладываю рабочий эксплоит в открытый доступ :)

Мне вот интересно, зачем «исследователь» выставляет проблему на всеобщее обозрение? Тихо бы доложил ораклу и получил бы плюшки.

А как же слава, девки, пиво, рок-н-рол?!

Чтобы привлечь внимание и поторопить Оракл, не?
P.S. Фрактал нашёл свою старую аву и опять занялся копипастой с опеннета - всё устаканилось. ))

А как же слава, девки, пиво, рок-н-рол?!

это хорошо, но кулахацкеры тоже не спят и заюзают уязвимость, а оракл не успеет пофиксить допустим

А eix -I jre или eix -I jdk?

так он же пакость может сделать всем, в принципе)

Мне вот интересно, зачем «исследователь» выставляет проблему на всеобщее обозрение? Тихо бы доложил ораклу и получил бы плюшки.

Не раскрыт механизм получения плюшек от Оракла. Оракл - есть одна из больших коммерческих контор. С устоявшимся продуктом.

С точки зрения бизнеса, исправлять баги в java вообще нет никакого смысла, если о них просто кто-то тихо доложил. При публичном вое «жаба-решето» кастомеры решений на жабе начинают дергаться и какой-то смысл появляется.

это хорошо, но кулахацкеры тоже не спят и заюзают уязвимость, а оракл не успеет пофиксить допустим

А вот это уже проблема оракла, жабафилов и прочих терпил... ;)

нашёл свою старую аву

вот оно что) я же на так давно зарегистрировался.

Чтобы привлечь внимание и поторопить Оракл, не?

это ясно, но и напакостить пользователям

ясно, выбираем меньшое зло.

Пакостит пользователям сама Оракля, выпуская дырявые поделки. Они и известные дыры иногда месяцами не закрывают.

А eix -I jre или eix -I jdk?

Совпадений не найдено.

Правильно делает.

Ага, сегодня утром в секлист прилетело. Немного инфо для Ъ:

The following Java SE versions were verified to be vulnerable:
- Java SE 5 Update 22 (build 1.5.0_22-b03)
- Java SE 6 Update 35 (build 1.6.0_35-b10)
- Java SE 7 Update 7 (build 1.7.0_07-b10)

All tests were successfully conducted in the environment of a
fully patched Windows 7 32-bit system and with the following
web browser applications:
- Firefox 15.0.1
- Google Chrome 21.0.1180.89
- Internet Explorer 9.0.8112.16421 (update 9.0.10)
- Opera 12.02 (build 1578)
- Safari 5.1.7 (7534.57.2)

Под линукс тестов не делали, но при желании пробить можно, ящитаю.
PoC в паблике нету, как и подробностей по уязвимости - но это не значит, что можно спокойно спать до того, как оно всё всплывёт, особенно учитывая то, что это таки зиродей. Кстати говоря

25-Sep-2012

- Vulnerability Notice along with a Proof of Concept code are sent to Oracle corporation (Issue 50).
- Oracle confirms Issue 50. The company provides its tracking number and informs that the issue will be addressed in a future Java SE Critical Patch Update.

Но, как обычно, про то когда же ждать патча ни слова.

Мне вот интересно, зачем «исследователь» выставляет проблему на всеобщее обозрение? Тихо бы доложил ораклу и получил бы плюшки.

В этой среде главные «плюшки» - это известность среди других хакеров. Он делает имя себе и своей конторе, и это лучше небольшого денежного вознаграждения разово (а поскольку у Оракла инициативы по денежной компенсации усилий на взлом говноджавы я не замечал, то единственное, что он получит - спасибки от оракла и номерок в CVE).

Kindly_Cat, хватит менять юзерпик :)

А это тот фрактал, или как там его? Смотрю что-то детский лепет знакомый.

я понял

Тихо бы доложил ораклу и получил бы плюшки.

Фишка в том, что никто и никогда не дает никаких плюшек.
Максимум что можно ждать от любой компании - спасибо, но обычно даже на письма не отвечают.

Некоторые могут в ответном письме пригрозить дать плюшкой по голове если что не так.

не знаю как оракл, но «Корпорация Добра» дает плюшки. Если оракл ничего не дает, тогда действия Адама правильные

Настоящие и так юзают многие уязвимости и не жужжат, а школоло никого не волнует.

Так в том-то и дело, что никто не даёт, и только гугл со своим хромом отличился. Нету культуры у большинства компаний в этом плане.
Но тем не менее есть возможность вполне легально продать серьёзные уязвимости по программам а-ля ZDI, так что выход у желающих поиметь деньги «исследователей безопасности» вполне себе имеется.