Oracle schließt Zero-Day-Lücke in Java 7

Oracle hat ein Update bereitgestellt, das zwei als „kritisch“ eingestufte Schwachstellen in Java 7 beseitigt. Eine der Lücken wird bereits aktiv ausgenutzt. Ein Angreifer könnte Schadcode einschleusen und die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Opfer muss dafür lediglich eine manipulierte Website besuchen, die den gefährlichen Code enthält.

Das außerplanmäßige Update – Oracles nächster regulärer Patchday findet am 15. Januar statt – stopft ein weiteres Loch, das die Ausführung von Schadcode innerhalb der Java-Sandbox erlaubt. Beide Fehler treten nur in Java 7 auf. Ältere Versionen der Laufzeitumgebung sind nicht betroffen. Außerdem weist Oracle in einem Advisory darauf hin, dass eigenständige Java-Anwendungen, Java auf Servern und eingebettete Java-Applikationen ebenfalls nicht anfällig sind.

Darüber hinaus verändert Oracle die Art, in der Java mit Web-Anwendungen interagiert. „Die voreingestellte Sicherheitsstufe für Java-Applets und Web-Start-Applikationen wurde von ‚mittel‘ auf ‚hoch‘ erhöht“, schreibt Oracle. „Das betrifft die Bedingungen, unter denen unsignierte Java-Webanwendungen ausgeführt werden können. Durch die Einstellung ‚hoch‘ wird der Nutzer jedes Mal gewarnt, bevor eine unsignierte Applikation ausgeführt wird, um eine Ausnutzung im Hintergrund zu verhindern.“

Ende vergangener Woche hatte der Blog „Malware Don’t Need Coffee“ den Fehler gemeldet. Das Sicherheitsunternehmen AlienVault Labs bestätige kurz darauf die Existenz der Schwachstelle. Sophos identifizierte zudem den Trojaner „Mal/JavaJar-B„, der die Lücke unter Windows, Linux und Unix ausnutzt. Beispiele für den Schadcode sind in mehreren bekannten Exploit-Kits enthalten, darunter auch „Blackhole“.

Am Freitag warnte auch das Bundesamt für Sicherheit in der Informationstechnik vor der Anfälligkeit. Ähnlich wie das US-CERT riet es Nutzern, Java bis zur Veröffentlichung eines Updates zu deaktivieren. Anwender, die auf Java angewiesen sind, sollten den jetzt von Oracle freigegebenen Patch schnellstmöglich einspielen.

Download: Java 7 Update 11

[mit Material von Steven Musil, News.com]