JRE 1.7漏洞

Question

今天,我们的Enterprise Architect提到最近在JRE 1.7中发现了一个漏洞.我发现了一篇JRE 1.7漏洞,建议禁用Java.

我正在运行JDK 1.5和1.6(就像许多组织一样,我们没有使用最新的技术),所以没有问题.

在家里,我正在使用Java SE 7u6进行开发.我正在玩Grails,Spring Security,试图继续学习.

我已经在我的家庭开发机器上的所有浏览器中删除并禁用了Java Plug-in.但是,有没有人知道我的家用开发机器是否因安装了JDK 7而仍然易受攻击？我确实发现这篇关于US-CERT声明漏洞通知的文章:Oracle Java JRE 1.7 Expression.execute()无法限制对特权代码的访问.

听起来就像浏览器无法运行Applet一样,我应该没问题(不应该禁用Java Plug-in).但是,Java Web Start/JNLP呢？可以调用吗？除了Applets之外,这是我能想到的唯一可能引起关注的事情.

只是想知道我是否需要完成卸载Java SE 7并退回到JDK6的工作.

在了解JRE 1.7的安全问题后,其他人做了什么？

Answer 1

最新漏洞的详细信息尚未公开。不过，我的理解是它只影响 Java 浏览器插件。建议的缓解措施是禁用 Java 浏览器插件。没有提及非插件 Java，因此我认为可以安全地假设您的开发计算机不会仅仅因为安装了 Java 7 而受到攻击。

但是，Java Web Start/JNLP 又如何呢？可以调用吗？

我不这么认为。我认为可以安全地假设发现问题的人会想到潜在的攻击媒介。（但简单的常识表明，您一开始就不想启动随机 JNLP 程序......）