MAX! Funk-Heizungsregler-System

Sehr geehrte Damen und Herren, sehr geehrte Produktverantwortliche,

kurz zur Vorstellung, mein Name ist Christian Pixa und ich arbeite für eine größere IT Firma im Bereich Softwarepaketierung.

Privat setze ich das Heizungsautomatisierungs-System der Firma eQ-3 ein.

Heute stellte ich fest, dass die MAX! Softwareversion 1.3.7 zum Download bereit steht. Während der Installation dieser Softwareversion ist ersichtlich, dass das Setup jeweils die Java Version 1.7.0_13 als 32bit und auch als 64bit Pendant mit auspackt.

Ich dachte ich sehe nicht recht, jedoch werden nicht nur die Sourcen auf der Festplatte abgelegt, nein - das Max! Setup installiert sogar die Lücken behaftete Java Version 1.7.0_13!

Sicherheitslücke: https://blogs.oracle.com/security/entry/updates_to_february_2013_critical

Dies stellt ein Sicherheitsrisiko dar und ist so nicht zu dulden.

Kritik:

Warum setzt hier eQ-3 auf eine derartige Installationsweise? Warum muss hier unbedingt Java mit installiert werden, anstatt es als Softwarevoraussetzung zu nennen?

Ich halte es für sehr bedenklich, eine derartige Softwareverteilung vorzunehmen. Von mir wäre eine derartiger Wrapper nicht freigegeben wurden.

Empfehlung:

Ganz klar, dem Paketierer dieser Softwareversion gehörig auf die Finger klopfen. Die MAX! Software sollte entsprechend angepasst und dem User der Hinweis mitgegeben werden, über http://www.java.com/de/download/manual.jsp die aktuelle Java Version zu installieren.

Für einen Laien ist sicherlich nicht klar, was eigentlich während der Installation passiert, jedoch wenn ich mir so das Setup ansehe, kann man Einiges verbessern. Aber dies ist ein Anderes Thema.

So wie nun die Version 1.3.7 da steht, kann man diese nicht dem User auf's Auge drücken und sollte hier definitiv angepasst werden.

MfG
Christian Pixa

Gähn... und manuell installierst du dir das mit Sicherheitslücken behaftete JRE7 Update 15. Als verantwortungsvoller Bürger hast du das 15 eh schon drauf, womit der Versuch eine 13 zu installieren eh hinfällig ist. Als weniger verantwortungsvoller schlägt das Auto-Update zu. Das wesentliche Problem ist in der 13 ohnehin schon behoben... Java wird nicht mehr automatisch als Browserplugin installiert bzw. aktiviert.

Ach ja... und bitte alle eventuell zu Hause liegenden Windows/Linux/Sonstige DVDs entsorgen. Da sind eklatante Sicherheitslücken drin, da die bösen Hersteller es unterlassen uns täglich neue DVDs mit allen Updates zu schicken.

@sirpreme

Sinn nicht verstanden, 6! setzen.

Es geht darum, dass es dem User überlassen ist, Java selbst zu installieren (ob nun mit oder ohne Lücke, dass weiß der User selbst nicht).

Dass eQ-3 hier jedoch dem User eine Version direkt vorschreibt - ist das eigentliche Problem.

Das nun die Version 1.7.0_15 ebenso Lückenbehaftet ist, ist erst kürzlich gemeldet, zum Zeitpunkt der Veröffentlichung von MAX! 1.3.7 gab es diese Version nicht.

Somit für's nächste Mal, erst lesen, verstehen und dann kann man immernoch darüber "quatschen"!

Und die Ausführung, das eigentliche Problem sei in der Version 1.7.0_13 wäre behoben, ist schlicht weg - Unsinn. Führe eine korrekte Recherche durch (Deepsight wäre hier genannt) und Du wirst den eigentlichen Grund erkennen.