Preciso remover todos os pacotes “java | jre” do meu sistema para estar seguro contra vulnerabilidades do java?

Question

Atualmente eu tenho estes instalados no meu Scientific Linux 6.3:

[root@localhost ~]# rpm -qa | egrep -i 'java|jre'
java-1.7.0-openjdk-1.7.0.9-2.3.7.1.el6_3.x86_64
java-1.6.0-openjdk-1.6.0.0-1.56.1.11.8.el6_3.x86_64
tzdata-java-2012j-1.el6.noarch
[root@localhost ~]# 

Preciso remover, então, para me proteger das vulnerabilidades recentes do Java? (Se eu tentar remover o java-1.6.0-openjdk .. então ele também quer remover o libreoffice.)

Ou as vulnerabilidades são relacionadas apenas a plug-ins do navegador da web java?

    

Answer 1

Sim, a maioria das vulnerabilidades está relacionada ao plug-in webbrowser. Na maioria dos casos (todos?) Você deve (ativamente) executar códigos java maliciosos que exploram essas fraquezas.

Do ponto de vista de um invasor, isso é feito com mais facilidade colocando esse código na Web e atraindo você para ele, para que você execute esse código.

Uma abordagem mais sutil pode ser fazer upload de algum código java em seu aplicativo e fazer com que ele execute esse código (explorando outras deficiências como injeções de código).

Portanto, se você não tiver um aplicativo em execução, exposto externamente, que possa executar código, nem ter um navegador instalado, você deve estar bem seguro.

    

Answer 2

Se você se refere a vulnerabilidades mais recentes sobre jdks (as que foram divulgadas em fevereiro de 2013), não é necessário.

Desative o plug-in java no seu navegador.