Vid start av VAKA JNLP-fil med OpenWebStart ges sedan 7 december möjlighet att uppdatera JVM runtime till 17.0.5.

Eftersom JVM runtime 17.0.5 inte är kompatibel med aktuell VAKA-version kan VAKA Java/PC-klient inte startas efter sådan uppdatering.

Instruktioner för att åter kunna starta VAKA Java/PC-klient efter att uppdatering av JVM runtime gjorts till 17.0.5 finns här, https://info.axema.se/java/java17/sv/index.htm.

VAKA-certifikatet för kodsignering löpte ut den 7e januari i år. Vid användande av Oracle JAVA för förhindras därför uppkoppling mot VAKA-systemet. För Open WebStart och IcedTeaWeb räcker det att tidigare ha accepterat certifikatet för bibehållen funktionalitet.

För att lösa problemet finns nu uppdaterade VAKA-versioner, dels för 3.87-spåret, dels för generation 4-spåret. Information samt instruktioner för uppgradering finns här: Uppgraderingsinstruktion.

För uppgradering av system som nyttjar Oracle Java görs ett temporärt webbplatsundantag för att ansluta mot VAKA-systemet. Instruktioner finns här: Webbplatsundantag för JAVA. Då systemet uppdaterats med uppdaterad VAKA-version, kan webbplatsundantaget tas bort.

Bakgrund

På torsdagskvällen förra veckan (9/12) spreds rapporter om hackare som använde sig av en sårbarhet i loggsystemet Log4j för att ta över bland annat Minecraft-servrar.

Säkerhetshålet kallas för Log4shell (CVE-2021-44228) och listan över sårbara system bara växer och växer. Troligen handlar det om miljontals it-system som är drabbade. Det har redan kallats ett av de största säkerhetshålen under gångna decenniet.

Källa: https://www.nyteknik.se/sakerhet/varsta-sarbarheten-pa-aratal-sa-fungerar-log4shell-7025990 (2021-12-13).

Resultat

Axema har analyserat påverkan på VAKA-systemet och VAKA.nu-tjänsten.

• VAKA-systemet använder inte Log4J-komponenten och är därför inte påverkat av sårbarheten.
• VAKA.nu-tjänsten är uppdaterad och sårbarheten är undanröjd.