Push-Nachrichten von MacTechNews.de
Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Sicherheitslücken in Java für Mac OS X bleiben bestehen

Ein Leser hat uns auf einen Register-Artikel aufmerksam gemacht, wonach in Mac OS X bereits seit sechs Monaten Sicherheitslücken in Java für Mac OS X bestehen. Diese Sicherheitslücken erlauben es Angreifern über Webseiten mit Java-Applets auf die Dateien des Anwenders zuzugreifen. Die Sicherheitslücken wurde von Sun mit Java 1.5.0_17 bereits im Dezember 2008 geschlossen. Apple selbst hat die Sicherheitslücken aber bisher nicht geschlossen. Die von Apple im Februar veröffentlichte Java-Aktualisierung behob nur ältere Sicherheitslücken auf Basis von Java 1.5.0_16. Da Sun noch in diesem Jahr die Unterstützung von Java SE 5 gänzlich einstellen will, ist es fraglich, ob Apple bis dahin noch eine Java-Aktualisierung veröffentlichen und damit die Sicherheitslücke schließen wird. Anwendern wird empfohlen, Java in den Einstellungen des Web-Browser vorerst auszuschalten, ebenso wie das Öffnen sicherer Dateien in Safari.

Weiterführende Links:

Kommentare

Duffman
Duffman19.05.09 22:43
Was mag Apple bloß abhalten, ein Update bereit zu stellen?
Gibt es solch gravierende Abhängigkeiten zwischen kritischen Systemkomponenten und der aktuell in OS X eingebauten Java-Version?


Nicht gut!
A life without walls needs no Windows!
0
ex_apple_user_neu19.05.09 22:50
Tja, Apple hat nicht die Ressourcen um Java 1.5 up to date zu halten.
Die Ressourcen werden für 1.6 benötigt.

Java wurde immer nur als nitwendiges Übel mitgeschleppt. So gab es damals auch für 10.3 keine einfachte Möglichkeit von Java 1.4 auf Java 1.5 zu wechseln.
Das war auch ein Grund Apples Mac OS X komplett zu verlassen: wenn man bei solch Banalitäten wie eine neue Java-Version gleich das komplette OS tauschen bzw. updaten muss, dann nimmt man eben ein wenig mehr Ärger in Kauf und wechselt zur Insel der Freiheit Windows oder Linux.

Freiheit wiegt mehr als Sicherheit oder Komfort.
0
anaken19.05.09 22:54
windows? freiheit? LOL

linux? freiheit? ROFL

in welcher welt lebst du nap? jedes os schränkt dich ein. jedes auf seine weise.
0
halebopp
halebopp19.05.09 23:00
ex_apple_user_neu:

Aber was tust du denn noch hier auf einem Apple-Forum?
Wenn du doch inzwischen kein Mac System mehr nutzt,
weil es so abgrundtief schlecht ist?
Hast du so viel Zeit, dich in Foren umzutun,
die primär um Dinge gehen, die du ablehnst?

Und du machst hier eigentlich auch nicht viel anderes,
als allen klar machen zu wollen, wie übel Apple ist.
Das war ich nicht - das war schon vorher kaputt!
0
sierkb19.05.09 23:06
Seit dem 23. April 2009 liegt auf der Apple Developer Connection (ADC) Member Site ein Update zum Testen bereit: Java for Mac OS X 10.5 Update 4 Developer Preview (9M3058).

Macht ein Update für alle unter MacOSX verfügbaren Java-Versionen, also 1.4, 1.5 und 1.6. Voraussetzung: Mac OS X v10.5.6 or later.

Wohlgemerkt: Developer Preview. Also mit entsprechender Vorsicht zu genießen. Und sicher nicht ohne Grund erstmal nur für Developer.

Unter der Haube scheint sich da Einiges zu ändern -- gerade im Hinblick auf den 64bit-Modus (welcher von da an standardmäßig bevorzugt wird) weshalb ein ausgiebiges Testen (auch und gerade mit den entsprechend dazu fähigen Browsern Safari 4b und Firefox 3.5b) sicher nicht ohne Grund angeraten ist.

Es sind in diesem anstehenden Update eine ganze Reihe von Bugs gefixt worden, auch der hier angemängelte und verlinkte Bug ist/wird auf folgende Weise wohl gefixt:
java.io.tmpdir no longer "/tmp"

The java.io.tmpdir system property is no longer hardcoded to "/tmp", but now uses a dynamically generated per-login session temporary directory provided by the system from mkstemp(). Any code that hardcodes "/tmp" or assumes a fixed location across user sessions will need to be updated.
.

Bin gespannt, wann die Testphase abgeschlossen sein wird und dieses Update dann tatsächlich beim gewöhnlichen Anwender landen wird. Apple hatte sich beim letzten Java-Update ja ein gutes halbes Jahr zwischen dem Developer Preview und dem dann auch für die Benutzer verfügbaren Update Zeit gelassen -- nachdem Sun selber und andere Linux-Distributoren schon etliche Monate vor Apples Java Developer Preview mit dem Thema durch waren und entsprechende Updates an ihre Kunden weitergereicht hatten.

Die geäußerte Kritik an Apples langer Leitung diesbzgl. ist also durchaus gerechtfertigt. Ich hoffe, Apple ändert das mal langsam und zieht mit den anderen gleich -- schließlich gelten hier für alle die gleichen Ausgangsbedingungen -- zumindest unter den Distributoren -- wenn man mal von Sun selber absieht.

Weitere Details dazu für ADC-Mitglieder im entsprechenden Download-Bereich der ADC.
0
Zetaline
Zetaline19.05.09 23:15
Anwendern wird empfohlen, Java in den Einstellungen des Web-Browser vorerst auszuschalten


Ok, habe ich jetzt gemacht.

Wusste gar nicht dass es noch bei Browsern neben JavaScript auch Java anzukreuzen gibt?!!


Also ich weiss ja dass JavaScript ziemlich essentiell (Rollover Effekte etc.) ist bei vielen Webseiten, aber wie sieht es da mit Java aus?

Wozu wird Java eigentlich benötigt
Auf der Verpackung stand: Erfordert IBM kompatiblen PC mit Windows oder besser. Also entschied ich mich für Mac + OS X = ♥
0
frosch270819.05.09 23:22
Betrifft das also alle Browser?
0
sierkb19.05.09 23:26
Zetaline:
JavaScript ziemlich essentiell (Rollover Effekte etc.)

Die Rollover-Effekte, die Du sicher meinst, die macht man heutzutage eigentlich auch nicht unbedingt mehr nur mit JavaScript. Galanter und für die meisten einfachen Dinge völlig ausreichend und besser geeignet ist der Weg über CSS. Nur für kompliziertere Effekte, die mit CSS alleine nicht mehr gelöst werden können, da stechen die Möglichkeiten von JavaScript hervor bzw. sind unumgänglich.
Wozu wird Java eigentlich benötigt
Diverse Anwendungen verwenden teilweise Java. Mitunter sogar richtig wichtige Anwendungen, mitunter sogar auf dem Server. Auf dem Client verwendet zum Beispiel auch OpenOffice Java. Und zwar für XSL-Transformationen bei seinen Import- und Export-Filtern. Das ginge zwar auch in C, doch gerade die XML- und XSLT-Verarbeitung ist seit Jahren traditionell ganz fest mit Java verbunden. Auf dem Client und noch viel mehr auf dem Server (Stichwort: Apache Tomcat, JSP, JSTL, Struts und was es da alles so gibt).

Und wer unter MacOSX entwickelt und dort z.B. eine IDE wie Eclipse oder NetBeans benötigt, der kommt um Java bzw. eine JVM auf dem Client auch nicht herum bzw. benötigt das zu deren Betrieb. Und auch (je nach Entwicklungsrichtung) auch eben für die Entwicklung selbst.
0
Webling
Webling19.05.09 23:27
im frontend kann ich auf java gern verzichten.
opera schnelleinstellungen java deaktivieren
0
gentux
gentux19.05.09 23:33
frosch2708
Ja.

Zetaline
Java wird kaum noch gebraucht, evtl. ältere Web-Interfaces für Netzwerkgeräte und Java-Applets wie man sie von Physik-Websites kennt. Java ist eigentlich eher eine Offline-Angelegenheit. Übrigens hat JavaScript mit Java kaum was zu tun.

sierkb
Danke für deinen Beitrag!

anaken
linux? freiheit? ROFL
Auch als Mac-User ist es mir schleierhaft, wieso du darüber so lachst! Wenn du Tage bis Monate investierst hast du mit Linux das System mit den grössten Freiheiten überhaupt! Mir selbst war es den Aufwand nicht wert, aber Linux ist sehr gut und man sollte als Mac-User die nicht belachen sondern als friedliche Konkurrenz sehen. So als Flucht, wenn man mit Apple nicht weiterkommt.
0
sierkb19.05.09 23:34
frosch2708:
Betrifft das also alle Browser?

Welche Browser greifen bei Dir denn alle auf das zentral unter
/Library/Internet\ Plug-Ins/JavaPluginCocoa.bundle
abgelegte Java-Plugin zu? Das dürften doch wohl so ziemlich alle sein, oder?
0
gentux
gentux19.05.09 23:37
Ok ich habe mal geschaut was es für Consumer für Java-Bedarf gibt im Internet.
0
Zetaline
Zetaline19.05.09 23:46
Danke für an alle, für die schnellen Infos.


Bin ich müde. ZZZzzz.....

Nun denn,
Eine geruhsame Nacht.
Auf der Verpackung stand: Erfordert IBM kompatiblen PC mit Windows oder besser. Also entschied ich mich für Mac + OS X = ♥
0
exAgrajag19.05.09 23:53
Dann bin ich ja mal gespannt, ob NetBeans mit dem Java-Update immer noch Startprobleme hat. Derzeit will ich da nichts anfassen, da ich endlich eine Version habe (6.7M2), die sich auch via Doppelklick starten lässt. Andere Versionen bekommt man ja nur über die Shell gestartet, oder sogar überhaupt nicht. Und bei jedem verhält sich das auch noch anders (soll welche geben, die bekommen wohl keine Version gestartet).

Tester vor?
0
sierkb20.05.09 00:00
sierkb:
Welche Browser greifen bei Dir […] Das dürften doch wohl so ziemlich alle sein […]

Ich muss mich leicht korrigieren: gemäß bzw. bringen Mozilla-Browser -- völlig unabhängig vom anderweitig installierten Java-Plugin -- ihr eigenes Java-Plugin mit, welches im betreffenden Paket unter Contents/MacOS/plugins/JavaEmbeddingPlugin.bundle liegt und -- wenn man es nach /Library/Internet\ Plug-Ins kopiert, wohl auch für andere Browser nutzbar gemacht werden kann/könnte.

Die Entwicklung dieses von Mozilla genutzten Plugins ist wohl völlig unabhängig von der derzeitigen Java-Entwicklung und unter downloadbar (Mozilla-Browser sind diesbzgl. immer auf dem neuesten Stand bzw. tragen das aktuellste Plugin in sich, welches gegenüber dem systemseitig installierten Plugins bevorzugt wird). Die dort gerade erneuerte Plugin-Version spiegelt, wenn man die Doku darüber liest, die derzeitigen Änderungen des obig von mir erwähnten Apple Developer Previews wieder als auch ist es wohl vorbereitet worden auf die diesbzgl. Änderungen für SnowLeopard. Weiteres dazu alles auf der betreffenden Projektseite.
0
sierkb20.05.09 00:05
exAgrajag:
Derzeit will ich da nichts anfassen, da ich endlich eine Version habe (6.7M2), die sich auch via Doppelklick starten lässt. Andere Versionen bekommt man ja nur über die Shell gestartet, oder sogar überhaupt nicht.

Noch ein NetBeans-Nutzer?! Bin gerade hin- und hergerissen zwischen Eclipse und NetBeans bzw. ich schaue mir NetBeans näher an (und es gefällt mir sehr!)...
Habe derzeit auch 6.7Beta(Build 200904242137) installiert, Deine Probleme mit den Vorversionen kann ich allerdings nicht nachvollziehen. Hatte auch mit der derzeit stabilen Release-Version 6.5 diesbzgl. keinerlei Probleme -- alles im grünen Bereich...
0
halebopp
halebopp20.05.09 00:05
Ich staune über die Schnelligkeit und Tiefe der Recherche.
Danke, sierkb.
Das war ich nicht - das war schon vorher kaputt!
0
exAgrajag20.05.09 00:16
sierkb: Man könnte schon fast sagen, daß ich Eclipse hasse. Ich bekam regelmäßig eine Krise, wenn ich es nutzen musste. Ich finde das Ding einfach zu unübersichtlich. Vielleicht bin ich aber auch einfach zu doof für Eclipse. Und der GUI-Builder bringt mich so RICHTIG auf die Palme. Ständig zerwirft es einem das "Design" *grrrrr*

Ach und wo wir schon dabei sind: ich hasse auch die Layout-Manager. Matisse (der GUI-Builder von Netbeans) bringt wenigstens einen recht guten Layout-Manager mit, wo man wenigstens vernünftig mit machen kann (in der Art vom Interface Builder). Matisse ist echt menschenwürdig benutzbar.

Ich hatte einige Netbeans-Versionen, die bei mir nur via Shell gestartet sind. Und teilweise nur mit Hilfe von sudo. Das ist ein bekanntes Problem. Hier mal ein Link dazu, auf die Schnelle gefunden:
0
mike_s
mike_s20.05.09 00:25
Nun schon wieder macht apple seine Bugkontrolle nicht. immerwieder taucht irgendwelche lücke aud und wiedermal hat apple irgendwie ganz am ende der warteliste geschrieben..
oh je..

Ich frage mich warum lässt apple einfach nicht so wie unter windows SUN das tun. Unter Windows macht/kümmert sich eingentlich sun um seine Produkte daher ist man dort zumindest in diesem Punkt im Vorteil

Wenn Apple es nicht kann/schafft es zu integrieren sollte irgendwie den experten überlassen,man kann nicht in alle punkten gut sein.
naja zumindest ist macosx noch akzeptabel...

nun in der Nachricht stand..
.....in den Einstellungen des Web-Browser vorerst auszuschalten, ebens......
...
wie?
so in der art?

[/url]
....
0
sierkb20.05.09 00:44
halebopp:
Ich staune über die Schnelligkeit und Tiefe der Recherche.

Ist eher Zufall. Ich kreise seit einigen Tagen um diese Java-Developer Devreview herum und überlege, ob ich es installieren soll oder nicht oder ob ich evtl. einen weiteren Preview bzw. das fertige Release abwarten soll...

Bzgl. des Plugins: bin heute mittag erst drüber gestolpert, dass es da wohl ein Update gegeben hat, und dann habe ich mich da einfach kurz eingelesen, was es ist, was es macht und was es soll...

exAgrajag:
Ich hatte einige Netbeans-Versionen, die bei mir nur via Shell gestartet sind. Und teilweise nur mit Hilfe von sudo. Das ist ein bekanntes Problem. Hier mal ein Link dazu, auf die Schnelle gefunden

Ich hatte das Problem bisher nicht, allerdings versuche ich mich noch nicht allzu lange an NetBeans (möglicherweise bleibe ich da ja hängen und werde meine Projekte von Eclipse zu NetBeans migrieren).
Du bist sicher, dass das Problem NetBeans zuzuschreiben gewesen ist und nicht der Java-Implementation unter MacOSX? Scheint inzwischen -- durch wen auch immer -- gefixt zu sein, wenn ich davon bisher nicht behelligt worden bin...

mike_s:
Ich frage mich warum lässt apple einfach nicht so wie unter windows SUN das tun. Unter Windows macht/kümmert sich eingentlich sun um seine Produkte daher ist man dort zumindest in diesem Punkt im Vorteil

Wenn Apple es nicht kann/schafft es zu integrieren sollte irgendwie den experten überlassen,man kann nicht in alle punkten gut sein.

Das sehe ich ziemlich genauso. Nicht nur die Windows-Version von Java, sondern auch die Linux- und die Solaris-Version von Java kommt von Sun direkt (siehe u.a. ). Auch wenn die Linux-Distributoren die ihnen von Sun zur Verfügung gestellten Sourcen und Pakete teilweise auch ein wenig an ihre eigene Distribution anpassen.
Nur Apple ist da außen vor, will da außen vor bleiben. Apple ist da bisher IMMER deutlicher Nachzügler, selbst gegenüber denjenigen Linux-Distributoren, die da die offizielle von Sun bereitgestellte Linux-Version nochmal modifizieren.

Ich begreife das einfach nicht, was Apple da macht und warum so ein eklatantes Nachzügler-Dasein überhaupt notwendig ist. Sinnvoll und in puncto Sicherheit im Sinne des Kunden ist es mit großer Wahrscheinlichkeit nicht.
0
StuffedLion20.05.09 02:41
Der groesste Witz ist ja, dass es fuer die intel Macs der ersten Generation mit core duo prozessoren (32bit) nur java 1.5 gibt und damit kein Entrinnen vor dieser Sicherheitsluecke.

nur ab der zweiten generation mit core 2 duo (64bit) kann man java 6 (1.6) verwenden.

Aber da die meisten hier wohl eher einen mac mit core 2 duo haben und deswegen sowieso java 6 verwenden, duerfte die newsmeldung fuer die meisten nicht von belang sein.

lg
lion

0
sierkb20.05.09 03:47
StuffedLion:
Aber da die meisten hier wohl eher einen mac mit core 2 duo haben und deswegen sowieso java 6 verwenden, duerfte die newsmeldung fuer die meisten nicht von belang sein.

Das wage ich mal sehr anzuzweifeln.
JavaSE 6 bietet Apple bisher leider nur in der 64bit-Variante an -- entgegen dem was auf anderen Plattformen wie Windows, Linux und Solaris angeboten wird: dort gibt es Java6 auch in einer 32bit-Version.

Bisher gibt es unter MacOSX so gut wie keine Anwendung, die diesbzgl. von 64bit-Java Gebrauch machen kann/könnte, allen voran die Browser: die werden bisher alle durch die Reihe weg standardmäßig nur 32-bittig ausgeliefert, u.a. auch deshalb, weil es eines der wichtigsten Plugins dafür, Flash, bisher auch nur 32-bittig gibt (bzw. 64-bittig bisher nur testweise unter Linux, soweit ich weiß). Ergo kann der normale Anwender mit 64-bit-Java nix anfangen. Ergo kann er mit JavaSE 6 unter MacOSX bisher leider nix anfangen: weil Apple ihm die 32-bit-Version, die es ja gibt, und die auf anderen Plattformen wunderbar läuft, nicht zur Verfügung stellt.

JavaSE 6 64-bit unter MacOSX ist bisher im Grunde alleine für Java-Entwickler verwendbar: damit die auch unter MacOSX 64-bit-fähige Anwendungen entwickeln können und nicht gezwungen sind, aufgrund der fehlenden Unterstützung auf der Mac-Plattform dafür auf Windows oder Linux zu wechseln, um dort die Entwicklung durchzuführen, denn dort wird die breite Palette von Java in 32-Bit wie auch 64-bit selbstverständlich und ohne Weiteres unterstützt.

Warum Apple hier bisher keine 32-Bit-Version von JavaSE 6 bereitstellen will, obwohl es sinnvoll und möglich wäre, das weiß allein Apple.
0
Garp200020.05.09 06:57
Und wieder ein krasses Beispiel für: "Apple die Sicherheitslücke". Aber Hauptsache iPhoto ist aktuell und der iPod nano in vielen bunten Farben verfügbar.

Zu 64 Bit: Bei Windows ist längst parallel auch ein 64 Bit Browser verfügbar. Irgendwann muss man den Schritt machen - warum Apple als Letzter?
Star of CCTV
0
MacDub20.05.09 07:23
Was macht man denn mit einem 64 Bit Browser? Webseiten oeffnen die mehr als 4Gb RAM belegen?
0
deus-ex
deus-ex20.05.09 07:34
Uh. Jetzt wird es aber böse hier. Viele wissen gar nicht was hinter Java steckt und für wie Sun sich das Konzept ausgedacht hat.

Von Sun war Java so konzipiert worden, das Sun selbst den plattformunabhängigen Teil von Java bereit stellt und die OS-Hersteller den Plattformabhängigen Teil nach eine Definition von Sun die so genannte Java Virtuelle Maschine (JVM).
Apple für Mac, Nokia für Symbian OS, IBM für AIX usw.

Sun bietet die JVM für Windows nur deshalb an, weil MS
Java unter Windows so verändert hatte das Java Programme die unter Windows programmiert worden sind unter keinem anderen OS mehr liefen.
Da hat dann Sun zu MS gesagt, "so nicht. In unsere Definition steht das, und das" und MS darauf, "dann bieten wir keine JVM mehr an".
Damit aber Java Programme auch unter Windows lauffähig sind musste Sun eine JVM für Windows anbieten.

Ihr seht also das Apple nur das macht wie es von Sun gewünscht ist. Das da aber nicht die Prioritäten bei Apple liegen dürfte klar sein.


Bezüglich der Verwendung von Java für Consumer.
Geht mal auf www.lidl.de oder www.schlecker.de und bestellt mal Fotoabzüge online. Wird alles mittels Java gemacht.
0
poskopiati
poskopiati20.05.09 08:44
Wenn ich Java ausschalte, kann ich ja nicht mal diese Kommentare hier lesen.

Ist der Tipp von der Redaktion wirklich so gewollt?

0
deus-ex
deus-ex20.05.09 09:07
Java. Nicht Java script.
0
mee
mee20.05.09 09:41
Egal, ich finde trotzdem, dass Apple da schneller reagieren müsste ...
0
FrankBerger20.05.09 11:17
Ich nutze Netbeans auf OS X seit.... Netbeans 4.0 und 10.2(3). Lief bei mir immer vollkommen stressfrei.

Was den Java Support von Apple angeht. In 2001 war man ja froh für jede Applikation, die man bekommen konnte. Da war Java wichtig und auch X11. Heute hat Apple (gefühltes?) Oberwasser und interessiert sich einen Dreck für Java. Siehe auch mangelnder Support für J2ME auf dem iPhone (könnte aber auch mir dem Geschäftsmodell zusammenhängen).
0
Johloemoe
Johloemoe20.05.09 12:50
FrankBerger
Früher verfolgte Apple auch eine andere Strategie bei Java. Java wurde ja zuerst auch als Objective-C-Alternative platziert (es gab/gibt eine Java-Cocoa-Bridgevon Apple). nachdem sich aber Obj-C durchgesetzt hat, wird die Java-Unterstützung nicht mehr sonderlich stark weiterentwickelt. Der Java-Support in OS X ist okay (Nachteil: Apple braucht länger um mit SUN Schritt zu halten, Vorteil: Java ist bei OS X sehr gut in das System integriert (Oberfläche etc.))

J2ME ist übrigends bewusst nicht auf dem iPhone, genauso wie Flash, J2SE und so weiter.. Nur zugelassene Apps auf dem iPhone.
0
Weitere News-Kommentare anzeigen

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.