Vlákno názorů k článku Povinné datové schránky pro lékaře a OSVČ se odkládají. Co se stalo? od kwok - Nechápu, proč se u ní sociálka nepoučí. Daňové...

Já jsem se neptal na obecný odkaz, o kterém vy tvrdíte, že tam někde něco je schované, a já si myslím, že to tam schované není. Já jsem se ptal na nějaký konkrétní případ. Že byste třeba vybral jednu konkrétní chybu buffer overflow třeba z let 2006 až 2011, která umožnila z Java Pluginu bez vědomí uživatele spustit libovolný kód.

Nebo jinak. Jde i o to zjistit, zda se mýlím já, když si myslím, že v JVM od Oracle (dříve Sunu) nebyla v poslední době žádná chyba buffer overflow umožňující útok přes Java plugin. Nebo zda se mýlíte vy, protože jste zaznamenal, že v poslední době bylo objeveno několik bezpečnostních chyb umožňujících v Java Pluginu spustit kód – a to, že jde o buffer overflow a že takové chyby se v Javě objevují trvale roky je už jen vaše fantazie.

Ani napodruhé jste na jasnou otázku nedokázal odpovědět nic konkrétního, takže to beru tak, že jste jen někde něco zaslechl a vaříte z vody. Tak příště už budete vědět, že buffer overflow není jediná chyba umožňující spuštění kódu, a že i chyby umožňující spuštění kódu jsou různě závažné (např. je rozdíl mezi chybami zneužitelnými jen lokálně a vzdáleně, je rozdíl, zda se kód v prohlížeči spustí bez vědomí uživatele nebo zda záměrně spuštěná aplikace získá víc práv).

Pochopil, vždyť jsem vám to také psal. Něco jste zaslechl o nějakých bezpečnostních problémech Javy – já o nich také něco vím. Z vašeho prvního komentáře to vypadalo, že možná víte něco víc, tak jsem se chtěl přiučit. Jenže se ukázalo, že toho moc nevíte, zato jste si hodně vymyslel.

Ne, vy jste si to nevymyslel, vy jste jen netušil, že existují i jiné typy zranitelností umožňující spuštění kódu, než jen buffer overflow. A taky jste netušil, že zrovna buffer overflow vzdáleně zneužitelný přes java Plugin je hodně nepravděpodobný. Mozilla, Secunia ani Oracle si to také nevymysleli, oni totiž žádné informace ani opravy týkající se buffer overflow nevydali.

Nakonec, vy už to víte také, protože na začátku jste psal o buffer overflow a já se na to také důsledně ptám, a vy se tomu v odpovědích důsledně vyhýbáte. Ale musíte sám uznat, že dost průhledně -- přece vám musí být jasné, že argument o tom, že Oracle vydal nějaké bezpečnostní opravy (což nikdo nezpochybňuje), neříká vůbec nic o tom, že by to byla bezpečnostní oprava chyby typu buffer overflow.

Že si jenom děláte legraci, to jste měl napsat na začátku, já jsem pořád tajně doufal, že se něco dozvím.

No vidíte, jedna tři a půl roku stará chyba a tři zbytečné odkazy. Navíc ta chyba byla zneužitelná jen z aplikace, kterou uživatel dovolil spustit, takže nic moc, ty letošní byly o dost horší.