「SunのJRE/JDK/SDKに深刻な脆弱性を発見」記事へのコメント

最新版にも未パッチの脆弱性が

[Technical Type (3408)]

DoS 止まりだが、 Sun Java System Directory Server LDAP Denial of Service Vulnerability [frsirt.com] というのが見つかった。

The FrSIRT is not aware of any official supplied patch for this issue.

だそうだ。つまり、最新版でもダメな問題が既に発見されている。

ホントーに Java って、脆弱性が見つかってから、また脆弱性が見つかるまでの間隔が短すぎるよね。12月も問題出したばっかりじゃないか。

Java は、アンインストールして、二度とインストールしない方がセキュリティーは向上するな。

Re:最新版にも未パッチの脆弱性が

[MatsuTake (16700)]

DoS 止まりだが、 Sun Java System Directory Server LDAP Denial of Service Vulnerability というのが見つかった。

Sun Java System Directory ServerとJREは別物です。

ホントーに Java って、脆弱性が見つかってから、また脆弱性が見つかるまでの間隔が短すぎるよね。

間隔はともかく、結構数が出ている印象はありますね。修正版が出てから脆弱性を公表するまでの期間が長いことも気になっているのですが、何か理由でもあるのでしょうか？

Re:最新版にも未パッチの脆弱性が

[Anonymous Coward]

>間隔はともかく、結構数が出ている印象はありますね。修正版が出てから脆弱性を公表するまでの期間が長いことも気になっているのですが、何か理由でもあるのでしょうか？

間隔が短いと、発表された脆弱性を持つ環境が
たくさん残った状態でより多くの攻撃者に
セキュリティホールを知らせてしまうからでは
ないでしょうか。
#　どうあがいても知る人は知ってしまうので
#　そういうひと以外にわざわざ知らせない、という意味

セキュリティパッチが出てないのに
公表されると怖いですよ。さすがに。
AppleのJVMは、SUNより遅れるのでこういう配慮は
嬉しいです。

Re:最新版にも未パッチの脆弱性が

[MatsuTake (16700)]

間隔が短いと、発表された脆弱性を持つ環境がたくさん残った状態でより多くの攻撃者にセキュリティホールを知らせてしまうからではないでしょうか。

脆弱性が公表されなければ多くの利用者はアップデートせず、脆弱性を持つ環境がたくさん残った状態のままなのでは？

また、パッチをリバースエンジニアリングしてExploitコードが作られたり [impress.co.jp]もしているようなので、脆弱性の発表前に修正版を出すこと自体がより多くの攻撃者にセキュリティホールを知らせてしまう原因にもなりかねません。

AppleのJVMは、SUNより遅れるのでこういう配慮は嬉しいです。

それは企業間で連絡を取り合うなり、CERT/CC [cert.org]とかに協力してもらうなりして調整すれば良いだけの話です。