[Résolu] Sécurité Java

[Churay]

Bonjour,

Pour celles et ceux qui utilisent le plug-in Java (dans un navigateur) dans l'une des versions Java SE 7 Update 97, Java SE 8 Update 73 et Java SE Update 74 pour les systèmes d’exploitation Windows, Solaris, Linux, et Mac OS X :

La faille référencée CVE-2016-0636 permet un accès à distance sans authentification, autrement dit : sa sévérité lui fait obtenir un score CVSS (Common Vulnerability Scoring System) de 9.3.
Oracle recommande d’appliquer urgemment le correctif disponible.

Puisqu'on aborde la sécurité, je vais réagir à un fil verrouillé :

Ravioli va vraiment falloir arrêter de conseiller aux gens de supprimer l' UAC. A moins que vous ne teniez absolument pas à leur sécurité informatique.
Si j'ai un conseil à donner c'est au contraire élever au maximum la paramètre pour empêcher toute installation non souhaitée sur la machine

Ravioli précisait l'utilité éventuelle de le maintenir.
Cela dit l'UAC arrêtera un lamer ou un script kiddy, mais ce n'est pas ce gadget qui empêchera l'installation ou l'exécution d'un code malveillant.
L'utilisateur lamba se croit en sécurité grâce à l'UAC. Ce qui est grave...

[Scrat]

Bonjour.

J'ajoute qu'il est impossible de travailler avec certains programmes sans être envahi de messages d'avertissement lorsque l'UAC est activé. Exemple avec Netbeans. L'UAC tel qu'il existe sous Vista est beaucoup trop envahissant pour une efficacité douteuse.

A+

[CanadaDry]

Hello,

Meme si OpenOffice se sert de Java pour Base, il n'est pas atteint par ca.
Oracle précise bien qu'il faut se connecter à un site web malicieux pour que ca marche.

Meme si c'est toujours bien de passer les updates

A+

[Churay]

Oracle précise bien qu'il faut se connecter à un site web malicieux pour que ca marche

J'avais précisé que cela touche le plugin Java SE utilisé par un navigateur et non le JRE
Oracle ne précise pas que certaines failles (sérieuses ou non) peuvent être de type poupée russe/boîte de Pandore...
Au-delà des malicieux (conçus pour), les sites infectés (ils sont légion) conduisent bien souvent au même résultats.

NB : il existe des outils web pour évaluer une URL, entre autres :

• AVG LinkScanner, Sucuri SiteCheck, Unmask Parasites.

Meme si c'est toujours bien de passer les updates

c'est, à mon avis, une nécessité dès qu'une faille est signalée particulièrement avec Java qui a démarré sur les chapeaux de roues en 2016.