Hacker nutzen Java-Lücke für Angriffe auf NATO und US-Militär
Das hat jetzt der IT-Sicherheitsanbieter Trend Micro bei der Analyse der Malware-Kampagne Pawn Storm entdeckt. Ihm zufolge findet sich der Fehler in der aktuellen Version 8 Update 45. In den älteren Versionen Java 6 und 7 ist die Schwachstelle demnach nicht enthalten.
Bei der tiefergehenden Analyse der bereits im April aufgedeckten Malware-Kampagne Pawn Storm haben Experten von Trend Micro nun eine bislang unbekannte Sicherheitslücke in Java aufgedeckt. Der Fehler findet sich in der aktuellen Java-Version 8 Update 45. In Java 6 und Java 7 ist er nicht enthalten. Dem Sicherheitsanbieter zufolge ist es seit fast zwei Jahren die erste Zero-Day-Lücke in der Laufzeitumgebung.
Die Schachstelle sowie ein dafür entwickelter Exploit werden laut Trend Micro derzeit bei Angriffen gegen die Streitkräfte eines NATO-Landes sowie eine Abteilung des US-Militärs verwendet. Man habe in E-Mails gefährliche URLs entdeckt, die Nutzer auf eine Website weiterleiten, die den Exploit hosten.
Die Schwachstelle ermögliche es Angreifern, Schadcode einzuschleusen und auszuführen. Bei den Angriffen im Rahmend er Operation “Pawn Storm” auf Organisationen in NATO-Mitgliedsländern, das Weiße Haus und die OSZE in Wien sei die nun beschriebene Java-Lücke allerdings noch nicht ausgenutzt worden. Oracle wurde über die Sicherheitslücke informiert. Java-Nutzern empfiehlt Trend Micro die Laufzeitumgebung in ihren Browsern zu deaktivieren.
Das nächste planmäßige Java-Update stellt Oracle morgen im Lauf des Tages im Rahmen seines Juli-Patchdays zur Verfügung. Anders als Adobe und Microsoft, die einmal im Monat Updates ausliefern, kommen Sicherheitsupdates für Java viermal im Jahr, jeweils im Januar, April, Juli und Oktober. Angesichts der Popularität von Java als Zielscheibe von Angriffen bei Kriminellen und Geheimdiensten kritisierten die lange Abstände Experten in der Vergangenheit bereits heftig.
Noch ist nicht bekannt, ob das nächste Java-Update auch die nun von Trend Micro publizierte Zero-Day-Lücke schließt. Der Vorankündigung zufolge werden in Java und anderen Oracle-Produkten wie Datenbanken, Middleware, Verwaltungssoftware und MySQL insgesamt 193 Schwachstellen behoben.
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de