Gleich wieder Sicherheitslücke in Oracles jüngstem Java-Update entdeckt

Nur wenige Stunden nach der Veröffentlichung hat das polnische Start-up Security Explorations eine neue Sicherheitslücke in Java 7 Update 7 gefunden. Angreifer könnten die Anfälligkeit ausnutzen, um auf betroffenen Systemen beliebigen Schadcode einzuschleusen und außerhalb der Java-Sandbox auszuführen.

Das Update, das Oracle Ende vergangener Woche außerplanmäßig bereitgestellt hat, soll insgesamt vier Anfälligkeiten in JDK und JRE 7 Update 6 beseitigen. Darunter ist eine kürzlich gemeldete Zero-Day-Lücke, die Hacker bereits aktiv ausnutzen und die ebenfalls von Security Explorations entdeckt worden war.

Nach Angaben des polnischen Unternehmens ist das jüngste Loch die insgesamt zweiunddreißigste Java-Anfälligkeit, die Security Explorations an Oracle gemeldet hat. Der größte Teil davon sei noch nicht geschlossen, heißt es. Oracle prüfe derzeit den neuen Fehlerbericht sowie den übermittelten Beispielcode für einen Exploit.

Schon zuvor hatte Adam Gowdiak, Gründer und CEO von Security Explorations, Oracles Patch-Politik kritisiert. „Wir haben erwartet, dass die gefährlichsten Lücken mit dem Juni-Patchday geschlossen würden. Das ist aber nicht passiert: Oracle hat viele Probleme nicht beseitigt und will sie erst beim nächsten Patchday angehen.“ Oracle bringt nur viermal im Jahr Sicherheitsupdates für Java heraus, das nächste Mal am 16. Oktober.

Da es sich bei der jüngsten Lücke nur um ein „Proof of Concept“ handelt und Security Explorations keine Details über die Schwachstelle öffentlich gemacht hat, besteht für Java-Nutzer bisher keine Gefahr. Allerdings kann jederzeit Schadcode für die Anfälligkeit auftauchen. Im Fall der in der vergangenen Woche geschlossenen Zero-Day-Lücke fand der Code seinen Weg auch in das Exploit-Kit Blackhole. Dessen Erfolgsrate stieg laut Seculet daraufhin von 10 Prozent auf 25 Prozent an.

Die jüngsten Java-Lücken sind auch eine Warnung vor dem Einsatz von Java und vor einem frühzeitigen Update auf die neue Version 7. Nutzer, die Java nicht benötigen, sollten die Software von ihren System entfernen. Alle anderen sollten zumindest den Wechsel von Java 6 zu Java 7 überdenken.

[mit Material von Topher Kessler, News.com]