Trey már megírta a lényeget a HUP-on:

Julien Tinnes, a Google biztonsági csapatának tagja - tegnapi blogbejegyzésében arról ír, hogy Sami Koivu egy évvel azután, hogy egy rakás Java-val kapcsolatos biztonsági hibát hozott napvilágra, újra egy csokor buggal jelentkezett. De nem csak Koivu, hanem Tinnes kollégája, Tavis Ormandy is érdekes felfedezésekkel állt elő. Tinnes szerint ez már az utolsó szög kell legyen mindenkinél a Java appletek koporsójába, akinek biztonsággal kapcsolatos elvárásai vannak. Tinnes a következőket javasolja azoknak, akik nem akarják, hogy rommá törjék:

• a Java letiltása a böngészőkben

• Windows-on a Java teljes eltávolítása (nem elég a letiltás) vagy Tavis workaround-jainak alkalmazása

Tinnes egy kérdésre válaszként a kommentekben megjegyzi, hogy a CVE-2010-0095 ID-vel rendelkező bugon kívül minden, a blogbejegyzésben említett hiba tetszőleges kódfuttatáshoz vezethet.

A részletek a blogbejegyzésben. A Tavis Ormandy által talált hibáról bővebben itt.

... én csak néhány dologgal egészíteném ki a fentieket:

Az Ormandy által felfedezett sebezhetőség egy komoly tervezési hiba, tehát nem valami egyszerű programozói typoról van szó, hanem valami hasonlóról, mint ami a PDF formátumot is sújtja: a Java Web Start gondolkodás nélkül ad át parancssori argumentumokat a javaws binárisnak, melynek ilyen módon megadható egy alternatív JavaVM DLL, ami szépen be is töltődik, majd azt csinál amit szeretne. Ez a fájl elhelyezkedhet akár egy távoli kiszolgálón SMB megosztásán is, és miután semmilyen hagyományos hibakihasználásról nincs szó, az ezek ellen készült hardening megoldások (ASLR, DEP, stack cookiek...) szóba sem kerülnek, mindennek tetejébe a probléma a Windows és Linux platformokat is érint.

Javítás az nincs, ugyanakkor Tinnes megjegyzi, hogy a hiba részleteinek publikálását az indokolta, hogy már találkoztak olyan rosszindulatú támadásokkal, melyek ezt a problémát használják ki.