Java SE 7 Update 21

0

1

Oracle выпустила обновление для Java SE 7, в котором исправлено множество проблем безопасности (подробности). Также была обновлена ветка Java SE 6, в ней было закрыто 25 уязвимостей.

Улучшения в Update 21:

Введён репозиторий с чёрным списком сертификатов и проблемных JAR-файлов. Синхронизация осуществляется ежедневно.
Создан JDK для linux-систем работающих под управлением ARM, заявлена поддержка ARMv6 и ARMv7. В версии для ARM не работают Java WebStart, Java Plug-In, Garbage First (G1) Collector, JavaFX SDK и JavaFX Runtime.
Новый Server JRE (Server Java Runtime Environment), созданный для развёртывания серверных Java-приложений. В состав входит набор инструментов для мониторинга работы JVM и выполнения задач по обслуживанию серверных Java-приложений, но не входят компоненты, связанные с функционированием браузерного плагина, инсталлятором и системой автоматической установки обновлений. OC Solaris, Windows и Linux.
Cвязанные с безопасностью диалоги изменены, любой выполняемый в браузере Java-код теперь приводит к выводу предупреждения и требует явного подтверждения от пользователя. Форма диалога зависит от уровня риска.
В RMI (Remote Method Invocation API): теперь активно java.rmi.server.useCodebaseOnly, что запрещает загрузку внешних классов Java по URL.

>>> Подробности

Ссылка

←	Вышел релиз Wayland 1.1 и Weston 1.1

Euro Truck Simulator 2 Linux beta!

→

← 1 2 →

Cвязанные с безопасностью диалоги изменены , любой выполняемый в браузере Java-код теперь приводит к выводу предупреждения и требует явного подтверждения от пользователя. Форма диалога зависит от уровня риска

Я всю жизнь удивлялся почему этого не было с самого начала, это же логично

~~vertexua~~ ★★★★★
(17.04.13 16:12:11 MSK)

Так а что, оракловскую джаву еще используют? openjdk же референсная реализация java 7.

anonymous
(17.04.13 19:32:44 MSK)

Ответ на: комментарий от vertexua 17.04.13 16:12:11 MSK

У меня в фф так всегда было.

~~unt1tled~~ ★★★★
(17.04.13 19:59:55 MSK)

Ссылка

исправлено множество проблем с безопасностью

мой фф больше не будет мне говорить, чтобы я оключил яву?

~~unt1tled~~ ★★★★
(17.04.13 20:00:25 MSK)

Ссылка

Ответ на: комментарий от anonymous 17.04.13 19:32:44 MSK

там шг

leave ★★★★★
(17.04.13 22:12:43 MSK)

чем оно лучше icedtea?

BattleCoder ★★★★★
(17.04.13 22:13:34 MSK)

Ссылка

было закрыто 25 уязвимостей

А сколько открыто?:)

fang90 ★★★★★
(17.04.13 22:15:00 MSK)

Ссылка

Это, км-км.
Каждое обновление по 10-50 уязвимостей.

GanGSISoft ★★
(17.04.13 22:17:58 MSK)

Ссылка

Это крупное обновление Java.

~~Deathstalker~~ ★★★★★
(17.04.13 22:21:22 MSK)

Ссылка

вроде там еще запретили неподписанные апплеты?

Deleted
(17.04.13 22:28:50 MSK)

Ссылка

Думал, что шестую ветку уже усё... Хорошая новость, дельная.

ivanlex ★★★★★
(17.04.13 22:29:58 MSK)

Ссылка

Ответ на: комментарий от vertexua 17.04.13 16:12:11 MSK

настроить же можно. Там галочка есть, ну в шиндовсе точно. Типа алерт на любой java-апплет/java-код в браузере

ii343hbka ★★★
(17.04.13 22:42:17 MSK)

Ссылка

а что там с JRE и JavaFX под Android слышно ?

qwerky ★
(17.04.13 23:11:41 MSK)

Ссылка

И оно таки перестало напару с флэшем быть дырявым ведром? С тех пор как заботливая лиса порекомендовала мне отключить это порочное поделие, у меня оно и отключено.

SjZ ★★★★★
(17.04.13 23:19:03 MSK)

Ссылка

Ответ на: комментарий от anonymous 17.04.13 19:32:44 MSK

Оно работает на чем-то сложнее Hello World? Серьезно, сколько раз ставил и запускал Eclipse - крашится.

dearboy ★
(17.04.13 23:20:03 MSK)

Ответ на: комментарий от dearboy 17.04.13 23:20:03 MSK

Не путай OpenJDK и GCJ. Крошится последний, на OpenJDK работает почти всё — лично у меня red5 только отказался.

Aceler ★★★★★
(17.04.13 23:34:20 MSK)

Ссылка

Java SE 7 Update 21

вот праздник то какой))

gray ★★★★★
(17.04.13 23:40:25 MSK)

Ссылка

Ответ на: комментарий от dearboy 17.04.13 23:20:03 MSK

Эклипс крашится даже на официальной - стоит накатить кучку плагинов или проапгредить их.

Deleted
(17.04.13 23:40:40 MSK)

Ссылка

Никто уже даже не говорит решето

anonymous
(17.04.13 23:41:36 MSK)

Ссылка

Ответ на: комментарий от anonymous 17.04.13 19:32:44 MSK

Бывали случаи, когда webstart (неизбежное зло) работал на оракловской лучше, чем на openjdk. Дело в том, что в саму openjdk webstart не входит, а с ней обычно поставляется альтернативный webstart, разработанный в рамках проекта IcedTea.

Deleted
(17.04.13 23:47:26 MSK)

Ссылка

Введён репозиторий с чёрным списком сертификатов и проблемных JAR-файлов.

И чего с ними делают? Не запускают что-ли? Мне просто интересно.

~~void_ptr~~ ★★★★
(17.04.13 23:56:40 MSK)

Ссылка

Введён репозиторий с чёрным списком сертификатов и проблемных JAR-файлов. Синхронизация осуществляется ежедневно.

А вот это интересное нововведение, между прочим. Можно ли посмотреть как оно выглядит? Есть ли веб-интерфейс, как у Mozilla или оно закопано где-то внутри JRE? А то сайт Oracle'а читать невозможно. :(

X-Pilot ★★★★★
(18.04.13 01:05:08 MSK)

Ссылка

Ответ на: комментарий от vertexua 17.04.13 16:12:11 MSK

Я всю жизнь удивлялся почему этого не было с самого начала, это же логично

Ничего логичного. Выводить предупреждение на каждое выполнение джаваскрипта тоже логично? А джава апплет от джаваскрипта теоретически ничем не отличается — тьюринг-полный код выполняющийся в ограниченной песочнице. По сути признание, что песочница джавы — ненадежное решето и неявная рекомендация не использовать технологию апплетов.

~~Legioner~~ ★★★★★
(18.04.13 01:10:14 MSK)

«обновлена ветка Java SE 6, в ней было закрыто 25 уязвимостей.» - это конечно мило. Стоит еще сказать что обновление для ветки Java SE 7 исправляет 42 уязвимости, 19 из которых имеют рейтинг 10 (высший) по шкале CVVS.

Из 42 уязвимостей 39 могут быть использованы для удаленного эксплойта без аутентицации, т.е. могут быть использованы чтобы оплучить доступ к компьютеру по сети без имени и пароля (написал Oracle в заметках к патчу).

scott_tiger ★★★
(18.04.13 01:42:52 MSK)

Ответ на: комментарий от scott_tiger 18.04.13 01:42:52 MSK

и пофикшены они все были в 17м апдейте для 7ки и в 43м для 6ки. А то что в подробностях - обновление только с фиксами безопасности и выходит по расписанию.

RedPossum ★★★★★
(18.04.13 02:09:58 MSK)

Ссылка

Ответ на: комментарий от Legioner 18.04.13 01:10:14 MSK

По сути признание, что песочница джавы — ненадежное решето и неявная рекомендация не использовать технологию апплетов.

Не джавы, а конкретно, Oracle JRE

X-Pilot ★★★★★
(18.04.13 02:50:40 MSK)

Ссылка

Создан JDK для linux-систем работающих под управлением ARM, заявлена поддержка ARMv6 и ARMv7.

Ну теперь венде точно капец.

~~Quasar~~ ★★★★★
(18.04.13 07:07:27 MSK)

Ссылка

Ответ на: комментарий от anonymous 17.04.13 19:32:44 MSK

Так а что, оракловскую джаву еще используют? openjdk же референсная реализация java 7.

в продакшине ее и используют

kto_tama ★★★★★
(18.04.13 10:05:50 MSK)

Ответ на: комментарий от leave 17.04.13 22:12:43 MSK

там шг

В OpenJDK все нормально со шрифтами, если только вы не используете openSUSE, в котором SuSEconfig зачем-то портит fontconfig.properties.

Fice ★★
(18.04.13 12:28:07 MSK)

Ответ на: комментарий от Fice 18.04.13 12:28:07 MSK

запускаю pycharm под openjdk - лютейшее ШГ и тормоза при скроллинге; повторяю под oracle jdk - все красиво и летает.

leave ★★★★★
(18.04.13 13:06:17 MSK)
Последнее исправление: leave 18.04.13 13:06:34 MSK (всего исправлений: 1)

Ответ на: комментарий от leave 18.04.13 13:06:17 MSK

http://bit.ly/11g3ij0

hizel ★★★★★
(18.04.13 13:08:31 MSK)

Ответ на: комментарий от hizel 18.04.13 13:08:31 MSK

я в курсе, но почему-то не помогло. Впрочем, у меня все равно для шаринга десктопа в jitsi оракловая ждк стояла.

leave ★★★★★
(18.04.13 13:14:27 MSK)

Ссылка

Java SE 7 Update 21

Вроде только недавно открыли 7-ю ветку, а уже update 21. Скоро догонят шестёрку, которая ещё жива :)

router ★★★★★
(18.04.13 13:22:56 MSK)
Последнее исправление: router 18.04.13 13:23:06 MSK (всего исправлений: 1)

Ответ на: комментарий от leave 18.04.13 13:06:17 MSK

Попробовал у себя.

java version "1.7.0_17"
OpenJDK Runtime Environment (fedora-2.3.8.3.fc18-x86_64)
OpenJDK 64-Bit Server VM (build 23.7-b01, mixed mode)

Шрифты в PyCharm выглядят нормально, точно такие же, как в GNOME, из под которого я его запустил.

Fice ★★
(18.04.13 13:25:18 MSK)

Ссылка

Ответ на: комментарий от Legioner 18.04.13 01:10:14 MSK

По сути признание, что песочница джавы — ненадежное решето и неявная рекомендация не использовать технологию апплетов.

Вот только альтернативы не видно. Всё железо использует для веб-консолей java апплеты.

З.Ы. специально держу на рабочем компе jre старой версии - чтобы firefox при запуске каждого апплета требовал подтверждение :)

router ★★★★★
(18.04.13 13:25:38 MSK)

Ответ на: комментарий от leave 18.04.13 13:06:17 MSK

... и прокрутка совершенно не тормозит.

Fice ★★
(18.04.13 13:27:29 MSK)

Ответ на: комментарий от Fice 18.04.13 13:27:29 MSK

Значит, это была карма )

leave ★★★★★
(18.04.13 13:32:08 MSK)

Ссылка

Ответ на: комментарий от router 18.04.13 13:25:38 MSK

В about:config, plugins.click_to_play=true. Тем более, что флэш (если он есть) ничуть не более безопасен (но почему-то шума его уязвимости вызывают меньше).

Fice ★★
(18.04.13 13:32:12 MSK)

Ответ на: комментарий от Fice 18.04.13 13:32:12 MSK

Не знал, спасибо

router ★★★★★
(18.04.13 13:34:55 MSK)

Ссылка

Ответ на: комментарий от router 18.04.13 13:25:38 MSK

Вот только альтернативы не видно. Всё железо использует для веб-консолей java апплеты.

Ну вряд ли веб-консоль попытается хакнуть твой компьютер, тут что джава, что activex, что угодно подойдёт и песочница как таковая не особенно нужна.

З.Ы. специально держу на рабочем компе jre старой версии - чтобы firefox при запуске каждого апплета требовал подтверждение :)

Вроде noscript умеет такое.

~~Legioner~~ ★★★★★
(18.04.13 14:36:14 MSK)

Ответ на: комментарий от Legioner 18.04.13 14:36:14 MSK

Ну вряд ли веб-консоль попытается хакнуть твой компьютер, тут что джава, что activex, что угодно подойдёт и песочница как таковая не особенно нужна.

Типун тебе на язык. Java хоть кроссплатформенна. Плюс ActiveX как минимум не менее дырявый.

router ★★★★★
(18.04.13 14:49:26 MSK)

Ссылка

Поясните плиз, зачем это вообще надо?

Запускать на компе говеные жава программки столетней давности для сотовых телефонов?

anonymous
(18.04.13 16:45:57 MSK)

Ответ на: комментарий от anonymous 18.04.13 16:45:57 MSK

Конечно. Я без них жить не могу. Писающий мальчик с сименсовского телефона - хит номер 1.

svr69 ★★
(18.04.13 17:14:35 MSK)

Ответ на: комментарий от Legioner 18.04.13 01:10:14 MSK

Теория от практики очень сильно отличаются...

anonymous
(18.04.13 20:39:39 MSK)

Ссылка

Ответ на: комментарий от router 18.04.13 13:22:56 MSK

Вроде только недавно открыли 7-ю ветку

В середине 2011. По меркам IT почти два года — не настолько уж и мало, чтоб жаловаться «совсем недавно сделали, а столько ещë наворотили...».

Хотя, сдругой стороны, такое количество исправляемых уязвимостей характеризует сабж не с самой лучшей стороны (имеется ввиду именно изначальная дырявость, из-за которой приходится столько обновлений-исправлений выпускать).

anonymous
(18.04.13 22:58:55 MSK)

Ответ на: комментарий от anonymous 18.04.13 22:58:55 MSK

Applies to client deployment of Java only. This vulnerability can be exploited only through untrusted Java Web Start applications and untrusted Java applets. (Untrusted Java Web Start applications and untrusted applets run in the Java sandbox with limited privileges.) - почти все уязвимости. К основным областям применения жавы это мало относится.

svr69 ★★
(19.04.13 00:11:53 MSK)