'Oracle moet lekken in Java veel sneller aanpakken'

Lekke patch

Java wordt regelmatig geteisterd door lekken. De laatste zwakke plekken werden 2 weken geleden bekend. Die werden ook al grootscheeps misbruikt in crimeware-kits, voordat Oracle er mee aan de slag ging. De patch die het bedrijf daarop uitbracht bleek vervolgens 2 nieuwe zwakke plekken te veroorzaken. Het Amerikaanse CERT heeft daarop gebruikers geadviseerd Java maar uit te zetten in browsers. Daarbij voert de overheidsinstelling "het aantal en de ernst van deze en voorgaande Java-lekken" als redenen aan voor het zeer ongebruikelijke advies.

Meer als Microsoft

Adam Gowdiak van Security Explorations dat de lekken in de Java-patch vond, noemt de patch "slordig werk" en stelt dat de 3 patchrondes per jaar voor Java niet volstaan. "Oracle moet leren veilige software te ontwikkelen." Ook in de code van Java SE 7 is volgens hem duidelijk dat bepaalde nieuwe toevoegingen "niet onderworpen zijn geweest aan welke beveiligingscontrole dan ook." Samen met andere beveiligers pleit hij voor een Microsoft-achtige benadering waarbij beveiliging een integraal onderdeel is van het ontwikkelproces.

Java is van oorsprong een product van Sun, dat Oracle enkele jaren geleden heeft overgenomen.