Zero-Day-Lücke in Java entdeckt

Sicherheitsforscher haben eine Lücke in Oracles Java gefunden, die Hacker bereits aktiv ausnutzen. Zuerst hatte der Blog „Malware Don’t Need Coffee“ den Fehler gemeldet. Inzwischen wurde die Existenz der Schwachstelle auch von AlienVault Labs bestätigt. Eine Stellungnahme von Oracle steht noch aus.

„Das könnte zu Chaos führen“, schreibt der Autor des Blogs, der sich selbst „Kafeine“ nennt. Beispiele für Schadcode, mit dem sich die Lücke ausnutzen lasse, seien inzwischen in mehreren bekannten Exploit-Kits enthalten, darunter auch „Blackhole“. Kafeine selbst beschreibt die Anfälligkeit detailliert in seinem Blog.

Jaime Blasco, Sicherheitsforscher bei AlienVault Labs, konnte den Fehler nach eigenen Angaben in einer vollständig gepatchten Java-Installation nachvollziehen. „Die Java-Datei ist sehr gut verschleiert.“ Eine kurze Analyse des Exploits habe gezeigt, dass er Sicherheitsprüfungen umgehe, indem er Genehmigungen bestimmter Java-Klassen vortäusche, schreibt Blasco in einem Blogeintrag.

Der Exploit sei identisch mit dem Schadcode, der im vergangenen Jahr für Angriffe auf Zero-Day-Lücken in Internet Explorer, Java und Flash verwendet worden sei. Ein Hacker könne, wenn ein Opfer einem manipulierten Link folge, praktisch die vollständige Kontrolle über dessen Computer übernehmen. „Wir erwarten, dass in den kommenden Tagen auch ein Metasploit-Modul erscheinen wird. Die meisten Exploits Kits werden die neue Lücke eher früher als später aufnehmen.“

Kafeine und Blasco empfehlen allen betroffen Nutzern, das Java-Plug-in zu deaktivieren. „Das ist derzeit der einzige Schutz gegen diesen Exploit“, schreibt Blasco.

Oracle wollte sich auf Nachfrage durch TechWeekEurope nicht zu der Zero-Day-Lücke äußern. Der nächste reguläre Patchday des Unternehmens findet am 15. Januar statt. Es ist allerdings nicht davon auszugehen, dass Oracle bis dahin einen Fix entwickeln und so gründlich testen kann, dass er für den produktiven Einsatz geeignet ist. Bis zum übernächsten Patchday am 16. April wird Oracle aber wohl auch nicht warten können.

[mit Material von Tom Brewster, TechWeekEurope]