Sicherheitsforscher warnt vor Zero-Day-Lücke in Java SE

Adam Gowdiak, Chef des polnischen Sicherheitsanbieters Security Explorations, hat Details zu einer Zero-Day-Lücke in Java SE veröffentlicht. Konkret handelt es sich um eine Schwachstelle, die Oracle im September 2013 bereits geschlossen hatte. Der Patch soll allerdings unwirksam sein. Als Folge kann offenbar Code außerhalb der Java-Sandbox ausgeführt werden.

„Wir haben herausgefunden, dass sich der Oracle-Patch leicht umgehen lässt“, schreibt Gowdiak in einem Eintrag auf Full Disclosure. Dafür müssten lediglich vier Zeichen des ursprünglich im Oktober 2013 veröffentlichten Angriffscodes geändert werden. Zudem müsse ein HTTP-Server dazu gebracht werden, auf eine erste Anfrage nach einer bestimmten Java-Klasse mit einer „404 (nicht gefunden)“-Fehlermeldung zu reagieren.

Den aktualisierten Angriffscode bietet Security Explorations ebenso zum Download an wie eine detaillierte Beschreibung der Sicherheitslücke (PDF). Getestet wurde er mit Java SE 7 Update 97, Java SE 8 Update 74 und auch dem Early Access Build 108 von Java SE 9. Gowdiak weist allerdings darauf hin, dass die Click2Play-Funktion, die vor der Ausführung von Java-Applets die Zustimmung eines Nutzers einholt, nicht beeinträchtigt ist.

Oracle hat das Unternehmen vorab nicht über den fehlerhaften Patch informiert. Als Grund dafür nennt es eine neue Richtlinie für die Veröffentlichung von Sicherheitslücken. „Defekte Fixes werden nicht mehr toleriert. Wenn wir auf einen kaputten Fix für eine Anfälligkeit treffen, die wir bereits dem Hersteller gemeldet haben, wird sie ohne Vorankündigung öffentlich gemacht“, so Gowdiak weiter.

Darüber hinaus kritisiert Gowdiak Oracles Bewertung der Schwachstelle. Das Unternehmen habe im Oktober 2013 unterstellt, dass die Lücke mit der Kennung CVE-2013-5838 nur mithilfe von Java-Web-Start-Anwendungen und Java-Applets ausgenutzt werden könne. „Wir haben bestätigt, dass ein Exploit auch in einer Serverumgebung sowie mit der Google App Engine für Java möglich ist.“

Security Explorations macht schon seit Anfang 2012 auf Sicherheitslücken in Java aufmerksam. Das Unternehmen wirft Oracle zudem vor, Patches nicht zeitnah zur Verfügung zu stellen. Bei einer Präsentation auf der JavaLand-Konferenz in Brühl (PDF) in der vergangenen berichtete er von einem im September 2012 gemeldeten Fehler, den Oracle erst im Januar 2013 behoben habe. Dabei habe das Unternehmen lediglich den von Security Explorations vorgeschlagenen Fix implementiert.