Eric Romang: Signierter Java-Exploit umgeht neue Sicherheitseinstellung
Java-Exploit mit Signatur (Bild: Eric Romang)

Eric Romang Signierter Java-Exploit umgeht neue Sicherheitseinstellung

Eigentlich soll die neue Standard-Sicherheitseinstellung von Java für mehr Sicherheit sorgen, da nur noch signierte Java-Programme im Browser ohne Sicherheitswarnung ausgeführt werden. Doch nun ist ein erster signierter Java-Exploit aufgetaucht.

Anzeige

Auf einer Website der TU Chemnitz ist ein korrekt signierter Java-Exploit aufgetaucht. Die Signatur sorge dafür, dass das Programm auch in der neuen Standardeinstellung "Hoch" ohne Sicherheitswarnung ausgeführt wird, berichten der Sicherheitsexperte Eric Romang und Malware Domain List.

Laut Romang wurde über eine Sicherheitslücke in OpenX eine mit dem Exploit-Kit g01pack infizierte Java-Datei auf die Seiten des Projekts Beolingus eingeschleust. Sie wurde korrekt mit einem Zertifikat der US-Firma Clearesult Consulting Inc signiert.

Die seit Java 7 Update 11 geltende Standard-Sicherheitseinstellung gibt aber nur bei unsignierten Java-Programmen eine Warnung aus. Wäre ein selbsterstelltes oder nicht vertrauenswürdiges Zertifikat verwendet worden, würde Java eine Warnmeldung ausgeben, so Romang. So taucht der übliche Dialog beim Start einer Java-Applikation auf.

Im konkreten Fall sei das Zertifikat mit einem gestohlenen privaten Schlüssel erstellt worden, der auf Pastebin zu finden ist und von Godaddy bereits zurückgerufen wurde, so Jindrich Kubec, der als Director of Threat Intelligence beim Antivirenhersteller Avast arbeitet. Der Schlüssel sei von dessen Aussteller Godaddy zwar mit Wirkung zum 7. Dezember 2012 zurückgerufen worden, der Rückruf erfolgte laut Sophos am 25. Februar 2013. Die erste entsprechende Malware tauchte aber erst am 28. Februar 2013 auf.

Allerdings, so wundert sich Kubec, ist in seiner Java-Konfiguration die Prüfung auf zurückgerufene Zertifikate deaktiviert, während selbstsignierten Apps erweiterte Rechte eingeräumt werden.


Dr.Glitch 07. Mär 2013

Versteh mich nicht falsch, ich mag Java. Tolles Teil! Aber: ich halte ausnahmslos _jeden_...

ioxio 06. Mär 2013

Lol ? Java-expl0its sind für den Connaisseur die erste Wahl für Top-Level-Angriffe. Es...

Kommentieren



Anzeige

  1. Software-Entwickler (m/w) Embedded Systems
    Gebrüder Frei GmbH & Co., Albstadt
  2. Java Software Developer (m/w)
    afb Application Services AG, München
  3. Senior Referent - Servicereporting Service Center (m/w)
    Media-Saturn Deutschland GmbH, Ingolstadt
  4. Spezialist Client Management (m/w)
    Festo AG & Co. KG, Ostfildern bei Stuttgart

 

Detailsuche


Folgen Sie uns
       


  1. Virtual-Reality-Brille

    Oculus Crescent Bay mit besserem Display und Kopfhörern

  2. Electric Blue

    Elektroauto bricht Geschwindigkeitsrekord

  3. Soziale Netzwerke

    Offline-Freund bleibt wichtiger als Online-Freund

  4. Internet-Partei

    Kim Dotcom scheitert bei Wahl in Neuseeland

  5. SpaceX

    Privater Raumfrachter Dragon zur ISS gestartet

  6. NSA-Affäre

    Staatsanwaltschaft ermittelt nach Cyberangriff auf Stellar

  7. HP Elitepad 1000 G2 im Test

    Praktisches Arbeitsgerät dank Zubehör

  8. Spiele-API

    DirectX-11 wird parallel zu DirectX-12 weiterentwickelt

  9. Streaming-Box

    Netflix noch im Herbst für Amazons Fire TV

  10. Schnell, aber ungenau

    Roboter springt im Explosionsschritt



Haben wir etwas übersehen?

E-Mail an news@golem.de



Test Hyrule Warriors: Gedrücke und Gestöhne mit Zelda
Test Hyrule Warriors
Gedrücke und Gestöhne mit Zelda
  1. Mario Kart 8 Rennen mit Link und Prinzessin Peach
  2. Nintendo Streit um Smartphone-Spiele und das Internet

DDR-Hackerfilm Zwei schräge Vögel: Mit Erotik und Kybernetik ins perfekte Chaos
DDR-Hackerfilm Zwei schräge Vögel
Mit Erotik und Kybernetik ins perfekte Chaos
  1. Zoobotics Vier- und sechsbeinige Pappkameraden
  2. Miraisens Virtuelle Objekte werden ertastbar
  3. Autodesk Pteromys konstruiert Papiergleiter am Computer

Rezension What If: Ein Highlight der Nerdkultur vom XKCD-Autor
Rezension What If
Ein Highlight der Nerdkultur vom XKCD-Autor
  1. Transistoren Rechnen nach dem Schmetterlingsflügel-Prinzip
  2. MIT-Algorithmus Wie rotiert Schrott in Schwerelosigkeit?
  3. Neues Verfahren Yale-Forscher formt Smartphone-Hüllen aus metallischem Glas

    •  / 
    Zum Artikel