Java 7安全問題信息

Question

也許這不是一個像這樣的問題的正確平臺，但是有人知道你在哪裏（或者如果）可以找到關於當前Java 7 SE安全問題的詳細信息，如these ones？

我認爲這些都沒有發佈，因爲這本質上將記錄如何利用這些漏洞，但只是想我會問，如果有什麼地方可以獲得更多的信息，可以擴展到「完整的Java安全沙箱旁路」。我發現Alex Millers blog，但似乎幾年未更新。

謝謝。

Answer 1

根據我的經驗，遷移到最新版本的安全風險通常低於保留舊版本的安全風險。理由是安全研究人員通常會在最新版本中快速指出問題。通常這些將很快解決。儘管開發者很少回到較早的版本，除非問題真的很普遍，並且他們可以編寫一個不會破壞大量應用程序的解決方案。

現實情況是，我們僅僅因爲兩個原因而不瞭解突出的安全問題。

首先是公司不希望發佈尚未解決的問題。第二個是黑帽黑客對發佈他們知道的問題毫無興趣。

坦率地說，即使Oracle不知道Java 6上的所有突出安全問題......他們只知道那些好人告訴他們的東西，他們絕不會公開發布它直到他們發佈了補丁。即使這樣，修補程序描述往往會模糊他們正在修復的內容。

如果我是一名安全審計員，我會嘗試將自己插入那些討論黑客入侵Java並獲取樂趣和收益的論壇和站點，並且只是看看會發生什麼。

Answer 2

當安全研究人員負責（並且製作公司不會分別坐在他們的屁股上太久），那麼一旦軟件的固定版本發佈並且有些廣泛傳播，PoC通常只會獲得發佈權。

如果您的興趣是研究，那麼已經發布的較早的已發佈的漏洞應該提供大量的研究內容。

如果您的興趣是對這些漏洞的積極利用，那麼不要指望我（或本網站上的任何其他人）提供任何幫助，我希望。