Abo
  • Services:
Anzeige
Java-Exploit mit Signatur
Java-Exploit mit Signatur (Bild: Eric Romang)

Eric Romang: Signierter Java-Exploit umgeht neue Sicherheitseinstellung

Java-Exploit mit Signatur
Java-Exploit mit Signatur (Bild: Eric Romang)

Eigentlich soll die neue Standard-Sicherheitseinstellung von Java für mehr Sicherheit sorgen, da nur noch signierte Java-Programme im Browser ohne Sicherheitswarnung ausgeführt werden. Doch nun ist ein erster signierter Java-Exploit aufgetaucht.

Auf einer Website der TU Chemnitz ist ein korrekt signierter Java-Exploit aufgetaucht. Die Signatur sorge dafür, dass das Programm auch in der neuen Standardeinstellung "Hoch" ohne Sicherheitswarnung ausgeführt wird, berichten der Sicherheitsexperte Eric Romang und Malware Domain List.

Anzeige

Laut Romang wurde über eine Sicherheitslücke in OpenX eine mit dem Exploit-Kit g01pack infizierte Java-Datei auf die Seiten des Projekts Beolingus eingeschleust. Sie wurde korrekt mit einem Zertifikat der US-Firma Clearesult Consulting Inc signiert.

Die seit Java 7 Update 11 geltende Standard-Sicherheitseinstellung gibt aber nur bei unsignierten Java-Programmen eine Warnung aus. Wäre ein selbsterstelltes oder nicht vertrauenswürdiges Zertifikat verwendet worden, würde Java eine Warnmeldung ausgeben, so Romang. So taucht der übliche Dialog beim Start einer Java-Applikation auf.

Im konkreten Fall sei das Zertifikat mit einem gestohlenen privaten Schlüssel erstellt worden, der auf Pastebin zu finden ist und von Godaddy bereits zurückgerufen wurde, so Jindrich Kubec, der als Director of Threat Intelligence beim Antivirenhersteller Avast arbeitet. Der Schlüssel sei von dessen Aussteller Godaddy zwar mit Wirkung zum 7. Dezember 2012 zurückgerufen worden, der Rückruf erfolgte laut Sophos am 25. Februar 2013. Die erste entsprechende Malware tauchte aber erst am 28. Februar 2013 auf.

Allerdings, so wundert sich Kubec, ist in seiner Java-Konfiguration die Prüfung auf zurückgerufene Zertifikate deaktiviert, während selbstsignierten Apps erweiterte Rechte eingeräumt werden.


eye home zur Startseite
Dr.Glitch 07. Mär 2013

Versteh mich nicht falsch, ich mag Java. Tolles Teil! Aber: ich halte ausnahmslos _jeden_...

ioxio 06. Mär 2013

Lol ? Java-expl0its sind für den Connaisseur die erste Wahl für Top-Level-Angriffe. Es...



Anzeige

Stellenmarkt
  1. jobvector/Capsid GmbH, Düsseldorf
  2. SolarWorld AG, Bonn
  3. Hornbach-Baumarkt-AG, Großraum Mannheim/Karlsruhe
  4. Bijou Brigitte modische Accessoires AG, Hamburg


Anzeige
Spiele-Angebote
  1. 48,00€ inkl. Versand
  2. 299,99€
  3. 699,00€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitskonzeption für das App-getriebene Geschäft
  2. Mehr dazu im aktuellen Whitepaper von IBM
  3. Kritische Bereiche der IT-Sicherheit in Unternehmen


  1. Honor 8

    Dual-Kamera-Smartphone kostet ab 400 Euro in Deutschland

  2. Eigengebote

    BGH verurteilt Preistreiber zu hohem Schadenersatz

  3. IDE

    Kdevelop 5.0 nutzt Clang für Sprachunterstützung

  4. Hybridluftschiff

    Airlander 10 landet auf der Nase

  5. Verschlüsselung

    Regierung will nun doch keine Backdoors

  6. Gesichtserkennung

    Wir fälschen dein Gesicht mit VR

  7. Yoga Tab 3 Plus

    Händler enthüllt Lenovos neues Yoga-Tablet

  8. Mobile Werbung

    Google straft Webseiten mit Popups ab

  9. Leap Motion

    Early-Access-Beta der Interaktions-Engine für VR

  10. Princeton Piton

    Open-Source-Chip soll System mit 200.000 Kernen ermöglichen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Gear IconX im Test: Anderthalb Stunden Trainingsspaß
Gear IconX im Test
Anderthalb Stunden Trainingsspaß
  1. Samsung Display des Galaxy Note 7 ist offenbar nicht kratzfest
  2. PM1643 & PM1735 Samsung zeigt V-NAND v4 und drei Rekord-SSDs
  3. April, April? Samsung schummelt Apple Watch in eigenen Patentantrag

Thinkpad X1 Carbon 2013 vs 2016: Drei Jahre, zwei Ultrabooks, eine Erkenntnis
Thinkpad X1 Carbon 2013 vs 2016
Drei Jahre, zwei Ultrabooks, eine Erkenntnis
  1. Huawei Matebook im Test Guter Laptop-Ersatz mit zu starker Konkurrenz
  2. iPad Pro Case Razer zeigt flache mechanische Switches
  3. Thinkpwn Lenovo warnt vor mysteriöser Bios-Schwachstelle

Asus PG248Q im Test: 180 Hertz erkannt, 180 Hertz gebannt
Asus PG248Q im Test
180 Hertz erkannt, 180 Hertz gebannt
  1. Raspberry Pi 3 Booten über USB oder per Ethernet
  2. Autonomes Fahren Mercedes stoppt Werbespot wegen überzogener Versprechen
  3. Radeon RX 480 Dank DX12 und Vulkan reicht auch eine Mittelklasse-CPU

  1. Re: Das wird Konsequenzen haben

    dEEkAy | 23:03

  2. Re: Kaputte Welt.

    DetlevCM | 23:02

  3. Re: Beschleunigung ist aber auch das einzige...

    stiGGG | 22:54

  4. Re: Tesla, Tesla, Tesla....

    stiGGG | 22:45

  5. Re: Wen interessiert Google?

    AussieGrit | 22:38


  1. 19:21

  2. 17:12

  3. 16:44

  4. 16:36

  5. 15:35

  6. 15:03

  7. 14:22

  8. 14:08


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel