Eine Sicherheitslücke in Java 6 wird aktiv ausgenutzt, ein Patch ist nicht in Sicht.
Eine Sicherheitslücke in Java 6 wird aktiv ausgenutzt, ein Patch ist nicht in Sicht. (Bild: Andreas Donath/Golem.de)

Java 6 Kein Patch für aktiv ausgenutzten Exploit

Ein ungepatchter Exploit in Java 6 wird inzwischen aktiv ausgenutzt. Seit April 2013 unterstützt Oracle Java 6 nicht mehr, einen Patch gibt es nur kostenpflichtig. Java 6 ist weiterhin stark verbreitet.

Anzeige

Der als CVE-2013-2463 eingetragene Exploit in Java wird inzwischen aktiv ausgenutzt. Betroffen sind allerdings nur die Versionen 5 und 6 von Java. In Java 7 hat Oracle bereits im Juni 2013 die kritische Sicherheitslücke geschlossen. Seit April 2013 unterstützt Oracle aber Java 6 nicht mehr, obwohl Experten davon ausgehen, dass es sich noch bei mehr als 50 Prozent der Java-Installationen um die Version 6 handelt. Einen Patch gibt es zwar für Enterprise-Kunden, dieser ist aber kostenpflichtig.

Bereits am Wochenende hat der F-Secure-Sicherheitsexperte Timo Hirvonen davor gewarnt, dass ein Proof-of-Concept für die Nutzung des Exploits im Umlauf ist. Inzwischen hat Wolfgang Kandek von der Sicherheitsfirma Qualys bestätigt, dass sich der Exploit mit aktuellen Versionen des Neutrino-Exploit-Kits ausnutzen lässt. Kandek warnt, dass vor allem in Unternehmen weiterhin Java zum Einsatz kommt. Die Java-6-Installationen sollen noch bei über 50 Prozent liegen, schreibt er in seinem Blog.

Patches nur für Java 7

Oracle hat die Existenz der Sicherheitslücke selbst bestätigt und listet die betroffenen Versionen auf seiner Webseite auf: JDK und JRE 6 inklusive Update 45, JDK und JRE 5.0 inklusive Update 45 und JavaFX bis Version 2.2.21. Mit dem kostenlosen Update 22 von JDK und JRE 7 samt JavaFX ist die Sicherheitslücke geschlossen. Oracle schweigt sich aber über Details zu dem Exploit aus.

Details liefert hingegen der entsprechende CVE-Eintrag in der National Vunerability Database. Über eine manipulierte 2D-Komponente kann die Sandbox in Java-Clients umgangen werden, da deren Attribute unzureichend verifiziert werden. Patches für OpenJDK 7 und für die Iced-Tea-Versionen 1.11.12, 1.12.6, 2.1.9, 2.2.9, 2.3.10 und 2.4.1 liegen bereits vor.

In seinem Blogpost rät Kandek dringend zu einem Update auf Java 7. Wer auf Java 6 angewiesen ist, sollte beispielsweise die Sicherheitseinstellungen im Internet Explorer so einstellen, dass nur noch bekannte Java-Applets im Browser ausgeführt werden dürfen.


EvilSheep 28. Aug 2013

Sei doch froh das es solche Firmen gibt, aber nein, wenn etwas nicht immer mehr...

blizzy 28. Aug 2013

Schade, daß Du so einen Unsinn redest. Mit "benötigt spezielle Minor-Version" ist doch...

demon driver 28. Aug 2013

Ich dachte, die hätten die Schirmherrschaft über Java 6 übernommen, und hatte man da...

Kommentieren



Anzeige

  1. Senior Consultant SAP BI (m/w)
    INTENSE AG, Würzburg und Köln
  2. Teamleiter Webdesign (m/w)
    redblue Marketing GmbH, München
  3. Head of Ad Management (m/w)
    Heise Medien GmbH & Co. KG, Hannover
  4. Multi-Cloud Senior Consultant / Architect (m/w)
    T-Systems on site services GmbH, Leinfeld-Echterdingen

Detailsuche


Hardware-Angebote
  1. Fire TV Stick
    34,00€ statt 39,00€
  2. ARLT-Sale
    (Restposten, Rücksendungen und Gebrauchtware)
  3. NUR NOCH BIS MONTAG: Logitech G710+ Mechanical Gaming Keyboard
    mit Gutschein GC15G710 nur 77€ statt 99€ (Preisvergleich ab 104,95€)

Weitere Angebote


Folgen Sie uns
       


  1. Autosteuerung

    Uber heuert die Jeep-Hacker an

  2. Contributor Conference

    Owncloud führt Programm für Bug-Bounties ein

  3. Flexible Electronics

    Pentagon forscht mit Apple und Boeing an Wearables

  4. Private Cloud

    Proxy für Owncloud soll Heimnutzung erleichtern

  5. Geheimdienste

    NSA kann weiter US-Telefondaten sammeln

  6. Die Woche im Video

    Diskettenhaufen und heiße Teilchen

  7. Frankfurt

    Betreiber modernisieren Mobilfunknetz der U-Bahn

  8. 3D-Varius

    Pauline, die Geige aus dem 3D-Drucker

  9. Vectoring

    Telekom zählt eigenes 50 MBit/s nicht als 50 MBit/s

  10. Headlander

    Mit Köpfchen in die 70er-Jahre-Raumstation



Haben wir etwas übersehen?

E-Mail an news@golem.de



Autonomes Fahren: Auf dem Highway ist das Lenkrad los
Autonomes Fahren
Auf dem Highway ist das Lenkrad los
  1. Autonome Autos Daimler würde mit Google oder Apple kooperieren
  2. Testbetrieb Öffentliche Straßen für autonom fahrende Lkw freigegeben
  3. Ford Autonomes Auto mit Couch patentiert

Windows 10 im Upgrade-Test: Der Umstieg von Windows 7 auf 10 lohnt sich!
Windows 10 im Upgrade-Test
Der Umstieg von Windows 7 auf 10 lohnt sich!
  1. Microsoft Neuer Insider-Build von Windows 10
  2. Windows 10 Erfolgreicher als das angeblich erfolgreiche Windows 8
  3. Windows 10 Updates lassen sich unter Umständen 12 Monate aufschieben

Until Dawn im Test: Ich weiß, was du diesen Sommer spielen solltest
Until Dawn im Test
Ich weiß, was du diesen Sommer spielen solltest
  1. Everybody's Gone to the Rapture im Test Spaziergang am Rande der Apokalypse
  2. Submerged im Test Einschläferndes Abenteuer
  3. Tembo the Badass Elephant im Test Elefant im Elite-Einsatz

  1. Re: Computer von sega und Nintendo???

    Kakiss | 16:30

  2. OT: Suche Golem-Artikel

    triplekiller | 16:22

  3. Toller Wochenrückblick. Tolles Format!

    Myxier | 16:20

  4. Re: Flash entfernen und SWF per Serverumleitung...

    CoDEmanX | 16:16

  5. Re: 1 Mrd DAUs also

    Atzeonacid | 16:13


  1. 12:46

  2. 11:30

  3. 11:21

  4. 11:00

  5. 10:21

  6. 09:02

  7. 19:06

  8. 18:17


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel