JRE Bilan securité des version

[guillaume.]

Bonjour,

Je cherche à déterminer 2 informations relatives à la sécurité de certaines versions de la JRE de Sun :

- Niveau de sécurité : : Je dois la formater sur une échelle de 1 à 5 (1 étant très vulnérable). J'ai du mal à trouver d'autre infos que les bug fix des releases notes de chaque version (qui ne m'aide guère).

- Fréquence de mise à jour : Pour cela, en gros, je divise la durée de vie des versions des JRE(1.3, 1.4, 1.5, 1.6) par le nombre d'uptdates. Pour la durée de vie je prend le le laps de temps entre la date de mise à disposition (relaese) et l'EoL (End Of Life). J'ai récupéré le nombre d'uptades pour chaque version mais je n'arrive pas à déterminer leur date de mise à disposition (j'ai récupérer l'EoL des versions 1.3, 1.4, 1.5, mais pas 1.6)

En bonus
- La date de release des updates des différentes version de la JRE. Notamment la 1.6
- Le support (ou non) des différentes versions de la JRE 1.6. Il semble que la règle de sun soit la suivante : On ne supporte que la dernière version en cours. Actuellement la 1.6.20. Mais je n'arrive pas à mettre la main sur la release date de cette release ni sur celles des autres.

Cible
En gros les version 1.3, 1.4, 1.5, 1.6 mais sinon surtout ces versions là :
Java Runtime Environment 1.3.1.15
Java Runtime Environment 1.4.2.02
Java Runtime Environment 1.5.0.09
Java Runtime Environment 1.5.0.11
Java Runtime Environment 1.5.0.13
Java Runtime Environment 1.5.0.16
Java Runtime Environment 1.6.0.7
Java Runtime Environment 1.6.0.10
Java Runtime Environment 1.6.0.14
Java Runtime Environment 1.6.0.15
Java Runtime Environment 1.6.0.20

En gros l'objectif est d'obtenir un indice de "fragilité" en fonction du niveau de sécurité et de la fréquence de mise à jour.
Pour info je ne connais pas trop l'univers des JRE et j'avoue que j'ai du mal à trouver les infos sur le site de Sun.


Je suis preneur de toute réponse ou source d'information,

Merci d'avance !

Guillaume.

[Malekal_morte]

Salut,

bha difficile apparemment pour la date des release.
Dans les release note, y a pas de Date : http://java.sun.com/j2se/1.5.0/ReleaseNotes.html

Après y a les bulletins :
http://www.oracle.com/technology/deploy ... tchUpdates
http://www.oracle.com/technology/deploy ... chive.html

Y a pas vraiment de 0-day sur Java, souvent ils publient la vulnérabilité et tu as la release de dispo.
Donc la date de la release c'est la date du bulletin de vulnérabilités.

Sinon t'as la base de Secunia aussi pour quelques stats : http://secunia.com/advisories/product/12878/