Sistema di bug di OpenJDK
Secondo questo post sulla mailing list jdk7u-dev, il sistema di bug di OpenJDK può fornire un sottoinsieme della risposta.
Il post della mailing list dice che i bug con l'etichetta CPU-critical-request sono allo studio per l'inclusione nella prossima CPU e i bug con l'etichetta CPU-critical-approved sono stati approvati per l'inclusione nella prossima CPU. Tuttavia, in pratica, sembra che utilizzino etichette più specifiche. Per l'aggiornamento 7u51 previsto per gennaio 2014, le etichette sembrano essere CPU14_01-critical-request e CPU14_01-critical-approved.
Puoi sfogliare l'intero set di etichette per fare le tue ipotesi plausibili sulle etichette per le CPU successive. Puoi anche vedere i bug la cui "versione di correzione" è 7u51.
Gruppo piattaforma Java, blog sulla gestione del prodotto
Il Gruppo Java Platform, blog sulla gestione dei prodotti sembra essere un'altra strada per informazioni parziali. In questo commento alla voce "Updated Security Baseline (7u45) Impacts Java 7u40 and before with High Security settings", Erik Costlow di Oracle afferma:
Uno dei motivi per cui abbiamo creato questo blog è che ci offre un modo per fornire quante più informazioni possibili, anche più di quanto già fatto nelle varie mailing list di OpenJDK.
Ci sono alcune modifiche di cui non possiamo fornire un preavviso e la mia speranza è di ridurle al minimo. Per altri cambiamenti, non solo li stiamo pubblicando qui, ma sto effettivamente entrando in altri progetti e non solo li sto raccontando, ma (a seconda dei casi) sto apportando contributi. Vedi https://issues.apache.org/bugzilla/show_bug.cgi?id=55542 per un esempio.
Programmi Oracle
Il Programma per la compatibilità e le prestazioni Java è morto, secondo il mio account manager Oracle. L'accesso a un programma analogo per le CPU è strettamente controllato (anche all'interno di Oracle) a causa del rischio che le vulnerabilità vengano decodificate. (Non sono un membro e non ho intenzione di proseguire ulteriormente.) OpenJDK è il metodo preferito di Oracle per i test di compatibilità, anche se è noto che non è identico bit per bit a quello che sarà nella prossima CPU.
Oracle ci rimanda anche al Security Track a JavaOne 2013 , in particolare il discorso "Un anno di miglioramenti della sicurezza nella JRE", le cui diapositive sono disponibili online. Quelle diapositive, a loro volta, dicono che il blog sopra menzionato darà "il più anticipo possibile".
