В фреймворке Java Web Start найдена (http://seclists.org/fulldisclosure/2010/Apr/119) серьезная уязвимость, позволяющая злоумышленнику получить контроль над системой при открытии в любом  web-браузере с включенной поддержкой Java специально оформленной страницы. Проблема вызвана некорректной проверкой параметров, передаваемых JavaWS через командную строку, при этом эти параметры можно изменить (http://www.reversemode.com/index.php?option=com_content&task...) через HTML-тег "object".

По заявлению обнаруживших проблему исследователей, уязвимость присутствует в коде Java уже много лет. В настоящий момент наличие проблемы подтверждено только в Windows, скорее всего другие платформы не подвержены данной уязвимости. Исправления пока не выпущены, проблема отнесена к категории 0day-уязвимостей.

URL: http://threatpost.com/en_us/blogs/serious-new-java-flaw-affe...
Новость: http://www.opennet.me/opennews/art.shtml?num=26178

• Критическая уязвимость в Java, эксплуатируемая через браузер,RLC, 13:59 , 10-Апр-10
  • Критическая уязвимость в Java, эксплуатируемая через браузер,аноним, 14:15 , 10-Апр-10
    • Критическая уязвимость в Java, эксплуатируемая через браузер,szh, 16:07 , 10-Апр-10
      • Критическая уязвимость в Java, эксплуатируемая через браузер,User294, 19:28 , 10-Апр-10
        • Критическая уязвимость в Java, эксплуатируемая через браузер,iZEN, 18:01 , 12-Апр-10
  • Критическая уязвимость в Java, эксплуатируемая через браузер,я, 14:31 , 10-Апр-10
• Критическая уязвимость в Java, эксплуатируемая через браузер,Аноним, 17:39 , 10-Апр-10
  • Критическая уязвимость в Java, эксплуатируемая через браузер,anonymous, 21:47 , 10-Апр-10
    • Критическая уязвимость в Java, эксплуатируемая через браузер,dry, 11:27 , 11-Апр-10
  • Критическая уязвимость в Java, эксплуатируемая через браузер,iZEN, 18:00 , 12-Апр-10
• Критическая уязвимость в Java, эксплуатируемая через браузер,Аноним, 12:50 , 02-Май-10

ахренеть! а такая классная штука эта Java WEB Start!! так удобно с помощью неё приложения распространять!  Никак не исправят! они чё там не чешуться что ли в Этом Оракле!!!

Просто надо понять что софт и web несовместимы, и никогда не станут.

просто тебе надо понять что совместимы, и уже давно.

Доказано хацкерами засравшими все своей малварью? :) ИМХО, все эти навороты типа явы - нафиг не нужны. Один гемор только. И приваси факапнуть может, и структуру внутренней сети до некоторой степени может изучить, и вот такие вот прикольные фортели. Ссыкотнее явы только нативные бинарники с порносайта запускать. Кстати появились самоходные троянчики на яве. Да, запускаются благодаря некоторому тупняку юзера, но в конечном итоге - под симбиан вирье распостранялось точно так же.

>Ссыкотнее явы только нативные бинарники с
>порносайта запускать. Кстати появились самоходные троянчики на яве. Да, запускаются благодаря
>некоторому тупняку юзера, но в конечном итоге - под симбиан вирье
>распостранялось точно так же.

Опять ты не различаешь JavaScript и Java.

так если про эту уязвимость только вчера узнала общественность и производитель.. как они могут успеть?

Версия под Linux тоже уязвима:(

Правоверные линуксоиды в веб из под рута не лазают ;)

это не аргумент.
иногда компрометация пользовательского аккаунта ничуть не менее опасна чем компроментация системы.

Уязвимости подвержена только проприетарная Java SE.

OpenJDK6 и OpenJDK7 уязвимости не подвержены, поскольку в них отсутствуют плагины для запуска апплетов в браузере— злонамеренный код на JavaScript  ничего не сможет сделать.

http://www.veatek.ru/full/lp_tlp_2844/
http://www.sarssp.ru/stps/