Microsoft deaktiviert eigenes Java aus Sicherheitsgründen

Patch für Internet Explorer erst zu einem späteren Zeitpunkt geplant

Nachdem seit dem vergangenen Wochenende Exploit-Code für eine Sicherheitslücke im Internet Explorer entdeckt wurde, bietet Microsoft nun eine Umgehung des Problems an, indem Redmonds Java Virtual Machine mit einem Update deaktiviert wird. Erst zu einem späteren Zeitpunkt will Microsoft für das Sicherheitsloch einen Patch anbieten, der dann voraussichtlich nicht gleich alle Java-Funktionen deaktiviert.

Das Sicherheitsleck in Microsofts Java Virtual Machine im Zusammenspiel mit dem Internet Explorer wurde Ende vergangener Woche bekannt und seit dem Wochenende steht Exploit-Code zur Ausnutzung dieser Sicherheitsanfälligkeit im Internet bereit. Über einen Buffer Overflow in dem COM-Objekt javaprxy.dll können Angreifer beliebigen Programmcode auf einem fremden System mit den Rechten des angemeldeten Nutzers ausführen, um sich so eine umfassende Kontrolle über das System zu verschaffen.

Nachdem Microsoft das Sicherheitsloch bereits bestätigt hatte, bietet das Unternehmen nun verschiedene Optionen an, mögliche Angriffe darüber zu umgehen. Updates für den Internet Explorer verändern die Registry so, dass das betreffende COM-Objekt nicht mehr zum Einsatz kommt. Die Updates findet man in Microsofts Security Advisory im Workaround-Bereich, wo auch Anweisungen zu finden sind, die Registry-Daten manuell zu verändern.

Darüber hinaus kann die Registrierung der javaprxy.dll rückgängig gemacht werden. Dazu gibt man über den Ausführen-Befehl im Windows-Startmenü "regsvr32 /u javaprxy.dll" ein, was dann ebenfalls die Java-Funktionen deaktiviert. Eine komplette Deinstallation der Redmondschen Java Virtual Machine ist hingegen nicht ohne weiteres möglich, weil das dafür zuständige Werkzeug von Microsoft nicht mehr offiziell zum Download angeboten wird, sondern nur noch direkt über den Microsoft-Support zu haben ist.

Microsoft will zu einem späteren, nicht genannten Zeitpunkt Sicherheits-Updates veröffentlichen, die dann den Fehler hoffentlich beheben, ohne dass man auf alle Java-Funktionen verzichten muss, sofern man Microsofts Java Virtual Machine verwendet. Womöglich wird Microsoft passende Patches für den Internet Explorer bereits am Patch-Day für den Juli 2005 veröffentlichen, der in der kommenden Woche ansteht. Unter Windows XP ab dem Service Pack 1a sowie unter Windows Server 2003 gehört die Java Virtual Machine von Microsoft nicht mehr zum Lieferumfang.

Wer statt Microsofts Java Virtual Machine etwa die Java-Version von Sun verwendet, ist fein raus, weil das jüngst entdeckte Sicherheitsloch im Internet Explorer eben nur mit der Java Virtual Machine aus Redmond auftritt.