Sécurité Java : du retard sous Mac
On évoquait il y a quelques jours les erreurs de débutant de Microsoft qui publiait le détail de failles non corrigées sous Mac OS X (voir « Microsoft dévoile ses faiblesses »), cette fois c’est du côté d’Apple que la gestion d’un problème de sécurité laisse à désirer.
La machine virtuelle de Sun, sur laquelle s’appuie Java présenté lors de l’introduction de Mac OS X comme l’un des trois moyens de produire des applications sous Mac en plus des interfaces de programmation Carbon et Cocoa, comporterait encore des failles non corrigées par Apple dans la version distribuée avec Mac OS X. Même la mise à jour 10.5.7 récemment mise à disposition du public (voir « Leopard 10.5.7 au téléchargement ») n’aurait rien changé au problème.
Avec l’intention de mettre un peu de pression sur Apple, Landon Fuller a produit un applet Java (qui s’exécute dans un navigateur) qui tire parti de la faille découverte par Sami Kovu, afin de montrer qu’effectivement, le trou de sécurité peut être exploité pour prendre le contrôle d’une machine.
On attend donc qu’Apple intègre les corrections proposées par Sun il y a plusieurs mois déjà, dans une de ses mises à jour de sécurité.
Solution temporaire proposée pour éviter tout risque lié à ce problème : désactiver Java dans les préférences de votre navigateur (pas le Javascript, c’est différent).
Apple lags on Java security fix in OS X
Critical Mac OS X Java Vulnerabilities
