Re: Article: Why you can't dump Java (even though you want to)

Arne Vajh?j <arne@vajhoej.dk> writes:


  It is just true that whenever there is a security hole in a
  browser with no fix yet, I read ?in the meantime, one can
  disable JavaScript as a workaround?.

  Some years ago, I started to collect such reports as a
  proof. But then I ceased to collect more such reports,
  because I needed my time for other things. Thus, when my
  records are dated now, this does not mean that there are no
  more such reports today; I just do not collect them anymore.
  If I would have continued, the list would be very much longer.
  Having said this, here is a copy of a dated post of mine
  with regard to JavaScript security from about 2006. At its
  end, there is a long list of said reports.

                   ~~~~~ a copy of my 2006 post follows

  JavaScript might be used to validate input immediatly or to
  add support, but well educated web authors do this in such a
  manner that the main functionality can still be used without
  JavaScript: ?Google?, for example, can be used without
  JavaScript, while JavaScript adds some features.

      ?Content developers must ensure that pages are accessible
      with scripts turned off or in browsers that don't support
      scripts.?

http://www.w3.org/TR/WCAG10-HTML-TECHS/

  A web based computer magazine I read usually reports about 2 - 4
  browser exploits and security holes a month and about 80 %
  of the time the advice is ?until the manufacturer has a patch
  finished, the problem can be avoided by disabling JavaScript?. [1]

  In an October 2004 study, 80 % of home computers were found to
  be infected with spyware or adware, even though 85 % had
  antivirus software installed.

http://web.archive.org/web/20050331213714/http://www.staysafeonline.info/news/safety_study_v04.pdf

      ?according to an alert issued Thursday by the U.S.
      Computer Emergency Readiness Team (US-CERT), a division of
      the Department of Homeland Security (...) A CERT alert
      said Explorer users also can protect themselves by turning
      off the JavaScript function in their browsers. ?

http://www.washingtonpost.com/wp-dyn/articles/A6746-2004Jun25.html

      ?If JavaScript is enabled in these applications, then the
      system is vulnerable to exploitation.?

http://www.uscert.gov/current/current_activity.html#iis5

  Even Microsoft recommends to disable JavaScript:

      ?Under Security level for this zone, move the slider to High.?

http://www.microsoft.com/athome/security/online/browsing_safety.mspx

  And Microsoft recommends not to click on links (Yes!) but to
  type in URIs because of security risks by ?javascript:?-links.

      ?Do not click any hyperlinks that you do not trust.
      Type them in the Address bar yourself.?

http://support.microsoft.com/?id=833786

  [1]
  A selection of reports of security holes usually cured by
  disabling JavaScript and related reports (Sorry: in German
  language!)

http://www.heise.de/newsticker/meldung/48769
http://www.heise.de/newsticker/meldung/48725
http://www.heise.de/newsticker/meldung/63430
http://www.heise.de/newsticker/meldung/48589
http://www.heise.de/newsticker/meldung/48016
http://www.heise.de/newsticker/meldung/48016
http://www.heise.de/newsticker/meldung/47993
http://www.heise.de/newsticker/meldung/60340
http://www.heise.de/newsticker/meldung/47998
http://www.heise.de/newsticker/meldung/47494
http://www.heise.de/newsticker/meldung/47282
http://www.heise.de/newsticker/meldung/46923
http://www.heise.de/newsticker/meldung/61499
http://www.heise.de/newsticker/meldung/60240
http://www.heise.de/newsticker/meldung/69558
http://www.heise.de/newsticker/meldung/66952
http://www.heise.de/newsticker/meldung/66943
http://www.heise.de/newsticker/meldung/66511
http://www.heise.de/newsticker/meldung/67698
http://www.heise.de/newsticker/meldung/67132
http://www.heise.de/newsticker/meldung/69894
http://www.heise.de/newsticker/meldung/68579
http://www.heise.de/newsticker/meldung/69225
http://www.heise.de/newsticker/meldung/66846
http://www.heise.de/newsticker/meldung/68391
http://www.heise.de/newsticker/meldung/69015
http://www.heise.de/newsticker/meldung/66480
http://www.heise.de/newsticker/meldung/66928
http://www.heise.de/newsticker/meldung/66350
http://www.heise.de/newsticker/meldung/64771
http://www.heise.de/newsticker/meldung/58788
http://www.heise.de/newsticker/meldung/61350
http://www.heise.de/newsticker/meldung/59374
http://www.heise.de/newsticker/meldung/60644
http://www.heise.de/newsticker/meldung/60855
http://www.heise.de/newsticker/meldung/64426
http://www.heise.de/newsticker/meldung/60615
http://www.heise.de/newsticker/meldung/68394
http://www.heise.de/newsticker/meldung/58228
http://www.heise.de/newsticker/meldung/61700
http://www.heise.de/newsticker/meldung/61646
http://www.heise.de/newsticker/meldung/61828
http://www.heise.de/newsticker/meldung/57578
http://www.heise.de/newsticker/meldung/56354
http://www.heise.de/newsticker/meldung/54973
http://www.heise.de/newsticker/meldung/59330
http://www.heise.de/newsticker/meldung/56795
http://www.heise.de/newsticker/meldung/56323
http://www.heise.de/newsticker/meldung/53382
http://www.heise.de/newsticker/meldung/59449
http://www.heise.de/newsticker/meldung/54272
http://www.heise.de/newsticker/meldung/56646
http://www.heise.de/newsticker/meldung/53186
http://www.heise.de/newsticker/meldung/53042
http://www.heise.de/newsticker/meldung/54063
http://www.heise.de/newsticker/meldung/52995
http://www.heise.de/newsticker/meldung/52935
http://www.heise.de/newsticker/meldung/55138
http://www.heise.de/newsticker/meldung/54716
http://www.heise.de/newsticker/meldung/52844
http://www.heise.de/newsticker/meldung/54431
http://www.heise.de/newsticker/meldung/54734
http://www.heise.de/newsticker/meldung/54487
http://www.heise.de/newsticker/meldung/54605
http://www.heise.de/newsticker/meldung/55396
http://www.heise.de/newsticker/meldung/53582
http://www.heise.de/newsticker/meldung/52776
http://www.heise.de/newsticker/meldung/52752
http://www.heise.de/newsticker/meldung/61245
http://www.heise.de/newsticker/meldung/52365
http://www.heise.de/newsticker/meldung/52377
http://www.heise.de/newsticker/meldung/54636
http://www.heise.de/newsticker/meldung/54719
http://www.heise.de/newsticker/meldung/54714
http://www.heise.de/newsticker/meldung/54697
http://www.heise.de/newsticker/meldung/52377
http://www.heise.de/newsticker/meldung/54582
http://www.heise.de/newsticker/meldung/52390
http://www.heise.de/newsticker/meldung/52255
http://www.heise.de/newsticker/meldung/54352
http://www.heise.de/newsticker/meldung/51995
http://www.heise.de/newsticker/meldung/51751
http://www.heise.de/newsticker/meldung/53644
http://www.heise.de/newsticker/meldung/60908
http://www.heise.de/newsticker/meldung/51511
http://www.heise.de/newsticker/meldung/50968
http://www.heise.de/newsticker/meldung/50363
http://www.heise.de/newsticker/meldung/50128
http://www.heise.de/newsticker/meldung/50111
http://www.heise.de/newsticker/meldung/50179
http://www.heise.de/newsticker/meldung/53489
http://www.heise.de/newsticker/meldung/52018
http://www.heise.de/newsticker/meldung/54188
http://www.heise.de/newsticker/meldung/49517
http://www.heise.de/newsticker/meldung/53499
http://www.heise.de/newsticker/meldung/49219
http://www.heise.de/newsticker/meldung/49219
http://www.heise.de/newsticker/meldung/49240
http://www.heise.de/newsticker/meldung/49240
http://www.heise.de/newsticker/meldung/49240
http://www.heise.de/newsticker/meldung/48877
http://www.heise.de/newsticker/meldung/48793
http://www.heise.de/newsticker/meldung/48892
http://www.heise.de/newsticker/meldung/53964
http://www.heise.de/newsticker/meldung/53519
http://www.heise.de/newsticker/meldung/53544