Categories: SicherheitSoftware

Oracle und Apple stopfen kritische Löcher in Java

Oracle hat seinen für 19. Februar geplanten Patchday vorgezogen und am vergangenen Freitag Updates für Java SE bereitgestellt. Als Grund dafür nennt das Unternehmen mehrere Zero-Day-Lücken, die von Hackern bereits aktiv ausgenutzt werden. Apple aktualisiert zudem Java 6 unter Mac OS X 10.6 Snow Leopard auf die Version 1.6.0_39.

Den Versionshinweisen zufolge beseitigt Oracle insgesamt 50 Schwachstellen in Java für Windows, Linux, Solaris und Mac OS X ab Version 10.7.3. Die Anfälligkeiten stecken in Java 7 Update 11 und früher, Java 6 Update 38 und früher, Java 5.0 Update 38 und früher sowie Java 1.4.2_40 und früher. Auch JavaFX 2.2.4 und früher ist betroffen.

Das Risiko, das von 26 Sicherheitslücken ausgeht, stuft Oracle als „kritisch“ ein. Im zehnstufigen Common Vulnerability Scoring System (CVSS) sind sie mit 10.0 bewertet. Sie lassen sich durch nicht vertrauenswürdige Java-Web-Start-Anwendungen sowie Webdienste ausnutzen, die Daten an Programmierschnittstellen senden. Oracle empfiehlt Kunden, die Updates so schnell wie möglich einzuspielen. Unter Windows werden sie über die automatische Updatefunktion verteilt. Sie lassen sich auch von der Java-Website herunterladen.

Oracle beseitigt auch eine Anfälligkeit, die es Cyberkriminellen erlaubt, die Sicherheitseinstellungen von Java zu umgehen. Entdeckt wurde die Lücke vom polnischen Security-Start-up Security Explorations. „Wir haben herausgefunden, dass auf einem Windows-System unabhängig von den vier Einstellungsmöglichkeiten für die Sicherheitsebene unsignierter Java-Code erfolgreich ausgeführt werden kann“, sagte Adam Gowdiak, Gründer des Unternehmens, in der vergangenen Woche.

Die Sicherheitseinstellungen im Java Control Panel hatte Oracle erst im Oktober 2012 mit dem Update 10 für Java 7 eingeführt. Es können die Stufen “niedrig”, “mittel (empfohlen)”, “hoch” und “sehr hoch” ausgewählt werden. “Sehr hoch” bedeutet eigentlich, dass unsignierte Anwendungen die Sandbox der Laufzeitumgebung nicht verlassen können, was Nutzer theoretisch vor allen möglichen Bedrohungen schützen sollte.

Das von Apple bereitgestellte Java Update 12 für Mac OS X 10.6 schließt insgesamt 30 Lücken. Es ist 72,7 MByte groß und kann über die automatische Updatefunktion heruntergeladen werden. Einem Advisory zufolge kann bei einem Besuch eine Website mit einem speziell gestalteten Java-Applet Schadcode eingeschleust und außerhalb der Sandbox der Laufzeitumgebung ausgeführt werden.

Downloads:

[mit Material von Topher Kessler, News.com]

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.