新闻链接：http://www.infosec.org.cn/news/news_view.php?newsid=16896
新闻时间：2013-05-24 15:45:22
新闻正文： 甲骨文称，考虑到零日漏洞补丁的增加，所以有必要重新编号。
　　甲骨文改变了Java安全更新的号码排列。如一位专家所言：“好像Java更新还不够复杂一样。”
　　上周Oracle 支持文档就发布了这次的改变通知。
　　“Limited Update的发布将以20的倍数编号，”该文档说。“我们打算让Critical Patch Update继续使用奇数。在原有Limited Update基础上加上5的倍数，就可以计算出这些数字。如果有必要，还需要加一个数使其成奇数形式。”
　　Limited Update只是添加新特性，但是没有安全补丁;Critical Patch Update则包含了补丁。
　　甲骨文称，之所以需要改变是因为是被迫发布补丁以便在公司发现漏洞前，就撤销黑客已经利用的漏洞，因为修补漏洞的机会比较小。
　　“对于最近发布的安全补丁，我们已经跳过一些数字，而且要重新编号，”甲骨文说。“为了避免重新编号给人们带来的迷惑，我们要使用新的编号计划。”
　　所发布编号之间的间隔足以让甲骨文插入新的号码。
　　从2012年秋季开始，甲骨文就已经发布了大量OOB(out-of-brand)安全更新，安全专家们也正是因为这些更新而开始质疑甲骨文要锁住Java的承诺。
　　上个月，甲骨文宣称会延迟下一个主要Java更新的发布——Java 8——所以它可能要从工程师转为给此软件的安全提供支持。
　　在OOB补丁出现钱，甲骨文就严格遵守每年更新三次Critical Patches Update的计划，其编号通常都是奇数。但是甲骨文今年早些时候没有按计划更新Critical Patches Update。
　　新的编号计划保留了奇偶的安排，但是甲骨文的解释足以让Andrew Storm头疼，周二，安全营运总监在Tripwire的nCircle Security上发推文称“就好像Java还不还不够令人迷惑一样，”并随后发了前文所提支持文档的链接。
　　Java的编号计划向来以复杂闻名，比如，“7u21”或“6u45”以及其他名称，如“JDK”，“JRE”和“Java SE”。
　　在采访中，Storms就此改变做了解释，他说：“他们必须在代码中保留特定数字，这是出于兼容性的考虑。”
　　甲骨文称编号更改是一种妥协，但是目前在酝酿一种更为持久性的方案。
　　甲骨文称：“另一种更好的方法需要改变JDK的版本形式才能容纳多种类型的更新发布。为了避免对现有代码出现不兼容的情况，以后会在主要的Java发布中部署版本字符串格式的更改，而且也需要足够的时间让软件开发员做好准备。”
　　Storms称，虽然最近的改变需要程序员来操作，但IT管理人员也要意识到这种改变，终端用户可能会忽略这一点。“程序员必须要知道，”他说，“但是终端用户只需要自动更新。”
　　“从某一点来说，如果编号以更易理解的形式出现该是多好的事情。”Storms补充道。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)