Очередная уязвимость в джаве

решето

Не удивился.

Да сколько можно. Что за решето

по цене $5000

что-то подозрительна дёшево.

А вы говорите php...

хах, чего с ними там в этом оракле?

Мать-перемать, уже плакать хочется...

Ещё одно подтверждение, что Java в браузере по умолчанию не должна выполняться :)

Они допрыгаются до того, что все ынтерпрайзы на openjdk перейдут.

все ынтерпрайзы на openjdk перейдут.

Тогда ява станет закрытой, а разработчиков опенждк оракл предаст анафеме.

если ынтерпрайзы начнут терпеть убытки из-за дыр в проприетарной реализации жабы, то анафеме предадут разве что оракл...

Извинятся, да пофиксят, особо истеричным сделают скидку на оракл.

2 покупателя => красная шапка и оракл

если ынтерпрайзы начнут терпеть убытки из-за дыр в проприетарной реализации жабы, то

то цены на горчицу опять поднимутся. только и всего.

Теги: скандалы, паника, гречка и спички

Твои теги в корне неправильные.

а вот и маститые ЛОРовские аналитики подтянулись.

Похачат какой-нибудь толстобанк с клиентом на жабе, подсунут эксплоит, утащат ключики у нескольких тысяч клиентов... выдержат их некоторое время, и начнут веселиться.

обычная цена

Похачат какой-нибудь толстобанк

если это произойдет, то и без жабы найдут чем заняться :)

а она по умолчанию и не выполняется. по умолчанию ее просто нет, да и в моей ос апплет выполнится только по клику на него

Извинятся, да пофиксят

по ссылке написано, что бывало и по два года фиксят.

обычная цена

значит уязвимость какая-то специфическая, и взлетит у 3.5 юзеров. Раз так дёшево. Потому уж больно жёлтый заголовок ИМХО.

ты такой милый теоретик :)

ты такой милый теоретик

да, не покупал ещё уязвимости в java. А ты покупал? И как? Профит есть?

этого следовало ожидать.

если это произойдет, то и без жабы найдут чем заняться :)

не сам банк и его систему, достаточно говносайтика с клиентом.
это уже намного более просто.

У явы новый логотип http://cdn2.sbnation.com/imported_assets/450692/sieve.jpg

cast Bioreactor --butt-hert

Это может закончиться тем, что основные браузеры просто исключат плагин Java.

http://developers.slashdot.org/story/13/01/14/1641248/security-expert-says-ja...

Только что хотел это сделать, опередил.

hert

Это какой-то новый модный мем?

Я когда то покупал наборы сплоентов для любопытства.

А так же пробовал продавать баги.
И продать багу не спалив её суть это адски сложно.
Во первых не верят, что ты не барыга (т.е что ты не перекупил, и что через день её не будет в каждой новостной ленте).
Во вторых не верят, что если ты продашь её за 10-20к$, то не попробуешь продать ещё раз.
А третьих большинство спайварщиков крайне адекватны, и понимают что багу так или иначе спалят уже через пару дней и отбить цену в 20к$ за такой срок сложно.

Поверь, 5к$ это очень адекватная цена за «публичную» багу.
Если уязвимость появилась в относительном паблике, то значит её уже кто то изначально кому то сдал.
Обычно 0-day на форумах никто не продает, а юзает так сказать in-home.

А в OpenJDK эта неизвестная уязвимость есть?

У явы новый логотип

у неё такой изначально был. ситечко для кофе. Потом чашечку пририсовали. Потом ситечко почему-то убрали.

А третьих большинство спайварщиков крайне адекватны, и понимают что багу так или иначе спалят уже через пару дней и отбить цену в 20к$ за такой срок сложно.

ну если у тебя есть конкретная цель взлома, то бага может верой и правдой служить тебе вечно. А если конкретной цели нет, что делать с такой багой?

Если уязвимость появилась в относительном паблике, то значит её уже кто то изначально кому то сдал. Обычно 0-day на форумах никто не продает, а юзает так сказать in-home.

но где-то их ведь продают? Например мне вот бага сейчас совсем не нужна, что мне с ней делать, если я её случайно найду?

ну если у тебя есть конкретная цель взлома, то бага может верой и правдой служить тебе вечно. А если конкретной цели нет, что делать с такой багой?

Либо продать за дешего (2-3к$) либо опубликовать где нибудь таким образом чтобы все узнали кто именно её нашел.
Т.е можешь использовать её для формирования портфолио.

Некоторые проекты, например Chromium публикуют и поощряют людей которые находят дырки, при этом они не требуют раскрытия privacy если не брать деньги.
Несколько публикаций серьёзных багов и ты сможешь отдавать баги не только гуглу. :)

но где-то их ведь продают? Например мне вот бага сейчас совсем не нужна, что мне с ней делать, если я её случайно найду?

Продают обычно знакомые знакомым, когда есть поручители которых знает покупатель.

Даже хорошо известному человеку сложно заключать сделки на 10к$+, особенно когда есть риск даже не специально кинуть человека.
Без поручителей никто не работает.

Т.е вот ты продал багу, а завтра её нашли в паблике.
И никто никогда не узнает, нашли ли её случайно, продал ли ты её повторно или твой покупатель перепродал и решил тебя очернить.
Поэтому нужно хорошее портфолио и репутация, но людей которые им обладают единицы, остальные вынуждены отдавать свои находки за копейки или засаливать.

У меня вот есть два бага в серверном ПО (не надо думать, что я про sshd и апач, все куда прозаичнее и менее распостранено) которые уже годы живут себе и никто их не нашел. Продавать некому, юзать незачем, а отдавать за так жалко, т.к я недели потратил на их поиск.

В общем левому человеку продать багу будет так же сложно, как похищенную 20 лет назад и потом утерянную картино Пикасо.

Она как бы по идее стоит много миллионов, но вопервых в подлинность никто не верит, а во вторых полиция какой нибудь страны наверняка сразу же отберет её у покупателя если она действительно подлинная.

боже мой, это как вич. уязвимостей все больше и больше, пока не станут не излечимыми.

Апплеты - УГ

но не исключено

Три аксиомы http://ru.wikipedia.org/wiki/Шура-Бура,_Михаил_Романович

Аксиома 1. В каждой программе есть ошибка.

Аксиома 2. Если в программе нет ошибок, значит, в исходном алгоритме есть ошибка.

Аксиома 3. Если ни в программе, ни в алгоритме ошибок нет, то такая программа никому не нужна.

Аксиома пользователя Bioreactor

Аксиома 4. Если программист использует программу, удовлетворяющую Аксиоме 3 (например - http://www.softcraft.ru/paradigm/fp/whynotfp.shtml), то такой программист никому не нужен.

А Вы думаете, что Ъ должен знать разницу между сервлетом и апплетом?

Вы обижаете кульхацкеров.

Апплеты на php? Лучше уж конец света.