Oracle schließt 20 Sicherheitslücken in Java SE

Oracle hat ein Sicherheitsupdate für Java SE unter Windows, Linux und Solaris freigegeben. Es stopft insgesamt 20 Löcher. Betroffen sind JDK und JRE 7, JDK und JRE 6 Update 27 und früher, JDK und JRE 5.0 Update 31 und früher, SDK und JRE 1.4.2_33 und früher sowie JavaFX 2.0 und JRockit R28.14 und früher.

19 der 20 Anfälligkeiten lassen sich einer Sicherheitswarnung zufolge aus der Ferne und ohne Authentifizierung ausnutzen. Das von sechs Lücken ausgehende Risiko stuft Oracle zudem als „kritisch“ ein. Im zehnstufigen Common Vulnerability Scoring System (CVSS) sind sie mit 10.0 bewertet. Sie lassen sich auch durch nicht vertrauenswürdige Java-Web-Start-Applikationen ausnutzen, die in der Java-Sandbox mit eingeschränkten Rechten ausgeführt werden.

Darüber hinaus beseitigt das Update eine Ende September von zwei Sicherheitsforschern vorgestellte Lücke in der Version 1.0 von Transport Layer Security (TLS). Dabei handelt es sich um den Verschlüsselungsmechanismus, der Websites sichert, auf die per HTTPS zugegriffen wird.

Oracle rät allen betroffenen Kunden, den Patch so schnell wie möglich einzuspielen. Er wird unter Windows über die automatische Updatefunktion verteilt und lässt sich auch von der Java-Website herunterladen. Die nächsten regulären Java-Patchdays sind für 14. Februar 2012, 12. Juni 2012 und 16. Oktober 2012 geplant.