Oracle hat ein Update bereitgestellt, das zwei als „kritisch“ eingestufte Schwachstellen in Java 7 beseitigt. Eine der Lücken wird bereits aktiv ausgenutzt. Ein Angreifer könnte Schadcode einschleusen und die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Opfer muss dafür lediglich eine manipulierte Website besuchen, die den gefährlichen Code enthält.
Das außerplanmäßige Update – Oracles nächster regulärer Patchday findet am 15. Januar statt – stopft ein weiteres Loch, das die Ausführung von Schadcode innerhalb der Java-Sandbox erlaubt. Beide Fehler treten nur in Java 7 auf. Ältere Versionen der Laufzeitumgebung sind nicht betroffen. Außerdem weist Oracle in einem Advisory darauf hin, dass eigenständige Java-Anwendungen, Java auf Servern und eingebettete Java-Applikationen ebenfalls nicht anfällig sind.
Darüber hinaus verändert Oracle die Art, in der Java mit Web-Anwendungen interagiert. „Die voreingestellte Sicherheitsstufe für Java-Applets und Web-Start-Applikationen wurde von ‚mittel‘ auf ‚hoch‘ erhöht“, schreibt Oracle. „Das betrifft die Bedingungen, unter denen unsignierte Java-Webanwendungen ausgeführt werden können. Durch die Einstellung ‚hoch‘ wird der Nutzer jedes Mal gewarnt, bevor eine unsignierte Applikation ausgeführt wird, um eine Ausnutzung im Hintergrund zu verhindern.“
Ende vergangener Woche hatte der Blog „Malware Don’t Need Coffee“ den Fehler gemeldet. Das Sicherheitsunternehmen AlienVault Labs bestätige kurz darauf die Existenz der Schwachstelle. Sophos identifizierte zudem den Trojaner „Mal/JavaJar-B„, der die Lücke unter Windows, Linux und Unix ausnutzt. Beispiele für den Schadcode sind in mehreren bekannten Exploit-Kits enthalten, darunter auch „Blackhole“.
Am Freitag warnte auch das Bundesamt für Sicherheit in der Informationstechnik vor der Anfälligkeit. Ähnlich wie das US-CERT riet es Nutzern, Java bis zur Veröffentlichung eines Updates zu deaktivieren. Anwender, die auf Java angewiesen sind, sollten den jetzt von Oracle freigegebenen Patch schnellstmöglich einspielen.
Download: Java 7 Update 11
[mit Material von Steven Musil, News.com]
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
