Oracle und Apple stopfen kritische Sicherheitslöcher in Java SE

Oracle hat an seinem Oktober-Patchday ein Update für Java SE veröffentlicht, das insgesamt 30 zum Teil als kritisch eingestufte Sicherheitslöcher stopft. Es steht für Windows, Linux und Solaris zur Verfügung. Darüber hinaus hat Apple eine Aktualisierung bereitgestellt, die 20 Schwachstellen in Java für Mac OS X ab Version 10.6.8 beseitigt.

Die Anfälligkeiten stecken in JDK und JRE 7 Update 7 und früher, 6 Update 35 und früher, 5.0 Update 36 und früher sowie SDK und JRE 1.42_38 und früher. Einer Sicherheitswarnung von Oracle zufolge ist auch JavaFX bis einschließlich Version 2.2 betroffen.

Das Risiko, das von zehn Sicherheitslücken ausgeht, stuft Oracle als „kritisch“ ein. Im zehnstufigen Common Vulnerability Scoring System (CVSS) sind sie mit 10.0 bewertet. Sie lassen sich durch nicht vertrauenswürdige Java-Web-Start-Applikationen sowie Webdienste ausnutzen, die Daten an Programmierschnittstellen senden. Oracle empfiehlt Kunden, die Updates so schnell wie möglich einzuspielen. Unter Windows werden sie über die automatische Updatefunktion verteilt. Sie lassen sich auch von der Java-Website herunterladen.

19 der jetzt geschlossenen Sicherheitslücken wurden in den vergangenen Monaten von Security Explorations gemeldet. Das polnische Sicherheitsunternehmen kritisiert, dass Oracle eine Anfälligkeit, die es als kritisch einstuft, nicht behoben hat. Auf Nachfrage habe Oracle lediglich mitgeteilt, die Details zu der Schwachstelle seien zu spät eingereicht worden, um sie im Oktober zu schließen. Die Lücke werde aber beim nächsten Patchday im Februar 2013 berücksichtigt. Security Explorations hatte nach eigenen Angaben Oracle am 25. September Beispielcode für die Anfälligkeit zur Verfügung gestellt.

Mac-Nutzern stehen das Java-Update 2012-006 für Mac OS X 10.7 Lion und Mac OS X 10.8 Mountain Lion sowie Java für Mac OS X 10.6 Update 11 zur Verfügung. Apple stopft einem Hilfeartikel zufolge damit insgesamt 20 Sicherheitslöcher, die unter anderem das Ausführen von Schadcode außerhalb der Java-Sandbox erlauben sollen. Ob die laut Security Explorations ungepatchte Java-Lücke auch Apples Betriebssystem betrifft, ist unklar.