Außerplanmäßiges Java-Update behebt zwei Lecks

SicherheitSicherheitsmanagement
Java Logo

Oracle schließt kritische Zero-Day-Lücken in Java 7 noch vor dem planmäßigen Patchday am 15. Januar. Der Fix für zwei kritische Schwachstellen und eine Erhöhung der Sicherheitsstufen für Java-Applets sollen Anwender besser schützen.

Oracle hat ein Update bereitgestellt, das zwei als “kritisch” eingestufte Lücken in Java 7 schließt. Eine der Schwachstellen wird bereits aktiv ausgenutzt. Ein Angreifer könnte darüber Schadcode einschleusen und die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Opfer muss lediglich eine manipulierte Website besuchen, die den gefährlichen Code enthält. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hielt diese Lücke für so gravieend, dass es vergangene Woche Nutzern empfohlen hatte, Java zu deaktivieren.

Java Logo

Das außerplanmäßige Update – Oracles nächster regulärer Patchday findet am 15. Januar statt – stopft ein weiteres Loch, das die Ausführung von Schadcode innerhalb der Java-Sandbox erlaubt. Beide Fehler treten nur in Java 7 auf. Ältere Versionen der Laufzeitumgebung sind nicht betroffen. Außerdem weist Oracle in einem Advisory darauf hin, dass eigenständige Java-Anwendungen, Java auf Servern und eingebettete Java-Applikationen ebenfalls nicht anfällig sind.

Allerdings verändert Oracle die Art, in der Java mit Web-Anwendungen interagiert: “Die voreingestellte Sicherheitsstufe für Java-Applets und Web-Start-Applikationen wurde von ‘mittel’ auf ‘hoch’ erhöht”, schreibt Oracle. “Das betrifft die Bedingungen, unter den unsignierte Java-Webanwendungen ausgeführt werden können. Durch die Einstellung ‘hoch’ wird der Nutzer jedes Mal gewarnt, bevor eine unsignierte Applikation ausgeführt wird, um eine Ausnutzung im Hintergrund zu verhindern.”

Ende vergangener Woche hatte der Blog “Malware Don’t Need Coffee” den Fehler gemeldet. Das Sicherheitsunternehmen AlienVault Labs bestätige kurz darauf die Existenz der Schwachstelle. Sophos identifizierte zudem den Trojaner “Mal/JavaJar-B“, der die Lücke unter Windows, Linux und Unix ausnutzt. Beispiele für den Schadcode sind zudem in mehreren bekannten Exploit-Kits enthalten, darunter auch “Blackhole”.

[mit Material von Steven Musil, News.com]