OpenJDK 是否容易受到 0-Day 攻击？

Question

我很想知道 OpenJDK 是否也容易受到当前影响 Java 7 的零日漏洞利用的影响，因为专家告诉人们在所有操作系统上找到解决方案之前禁用 Java。

Answer 1

更新：请参阅Ubuntu 安全通知 USN-1693-1

发现可以通过 Java 小程序绕过 OpenJDK 7 的安全机制。如果用户被诱骗打开恶意网站，远程攻击者可以利用此漏洞在用户调用程序时执行任意代码。

可能不是针对 Oracle 的 Java 7 插件在野外使用的特定漏洞。这些漏洞利用通常是专门设计来与一组特定的软件一起运行的。

但是，如果因为 Java 在浏览器中的工作方式存在设计/架构错误，OpenJDK 也可能以类似的方式受到攻击。我找不到关于它的任何细节（在撰写本文时）以事实支持该声明，但以前的漏洞是专门针对 Oracle 的 JRE/JDK 而 OpenJDK 有自己的。

请注意在此上下文中漏洞利用和漏洞之间的区别。

另外请注意，您是可能受到一定的影响，如果你的Ubuntu上运行Oracle的JRE / JDK。然而，这些漏洞可能是针对 Windows 主机的，由于许可问题，Oracle 的 JRE/JDK 不再由 Ubuntu 分发（Oracle不再允许重新分发）。