Java: Kritische Sicherheitslücke im Security Manager
Eine weitere Sicherheitslücke in Java wird aktiv ausgenutzt. (Bild: Oracle)

Java Kritische Sicherheitslücke im Security Manager

In allen Java-Versionen inklusive Java 7, Update 10, ist eine kritische Sicherheitslücke, die bereits aktiv genutzt wird. Dabei wird ein Fehler im Security Manager ausgenutzt. Über Webseiten eingeschleuster Schadcode kann mit Administratorrechten ausgeführt werden.

Anzeige

In Java ist abermals eine kritische Sicherheitslücke entdeckt worden. Sie tritt in allen Versionen von Java 7, einschließlich Update 10, auf. Das US-Cert hat bereits eine Warnung (CVE-2012-4681) herausgegeben. Laut dem Entdecker des Fehlers mit dem Alias Kafeine wird die Schwachstelle bereits aktiv ausgenutzt. Bislang gibt es von Oracle keinen Patch. Das US-Cert empfiehlt, Java im Browser zu deaktivieren.

Der Fehler befindet sich im Security Manager im Java Runtime Environment 1.7 (JRE). Frühere Versionen sind nicht betroffen. Mit einer Kombination aus Java Management Extensions (JMX) MBean und den Objekten aus sun.org.mozilla.javascript.internal in einem Applet lässt sich der Security Manager aushebeln.

Der Fehler wird bereits aktiv genutzt. Der Hacker Kafeine sammelt Informationen über die Kits, in denen der Exploit bereits enthalten ist, darunter Nuclear Pack, Redkit oder Blackhole.

Der Security Manager soll verhindern, dass Applets unerlaubt auf Funktionen des Betriebssystems zugreifen. Laut einem Dokument von Oracle prüft ein Applet, ob ein Security Manager bereits installiert ist. Ist das der Fall, wird mit "setSecurityManager" geprüft, ob er ersetzt werden kann. Das kann laut Oracle eine Ausnahme auslösen. Das wiederum nutzt der Schadcode aus, um sich erhöhte Rechte im System zu genehmigen, ohne dass der Code des Applets entsprechend signiert werden muss.


debruehe 12. Jan 2013

So lange es Menschen gibt, die Malware verbreiten wollen, wird es auch immer wieder...

knalli 11. Jan 2013

Nun ja. In erster Linie geht es ja um Java-Applets in Browsern, welche immer in einer...

Kommentieren


Tobbis Blog / 12. Jan 2013

Sicherheitslücke in Java 7



Anzeige

  1. IT-Projektleiter/IT-Systempl- aner (m/w) für die Digitale Fabrik
    Daimler AG, Sindelfingen
  2. Software Architect (m/w)
    evosoft GmbH, Nürnberg
  3. Java-Web-Entwickler - CMS & Portale (m/w)
    TFT TIE Kinetix GmbH, München
  4. SAP-Consultant Logistik (m/w)
    RI-Solution GmbH c/o BayWa AG, München

 

Detailsuche


Folgen Sie uns
       


  1. Probleme mit der Haltbarkeit

    Wearables gehen zu schnell kaputt

  2. Nachfolger von Brendan Eich

    Chris Beard ist neuer Mozilla-Chef

  3. E-Plus

    Berliner U-Bahn bis Jahresende mit UMTS und LTE ausgerüstet

  4. 100 MBit/s

    Telekom will 38.000 Kabelverzweiger für Vectoring

  5. Regierungsrazzia

    Chinesische Büros von Microsoft durchsucht

  6. Sebastian Kügler

    Pläne für Wayland-Unterstützung in KDE Plasma 5

  7. Dieselstörmers

    Modemarke gegen Actionspiel

  8. Wearable

    Swatch will eigene Smartwatch bauen

  9. DPT Board

    Selbstbau-WLAN-Modul mit OpenWRT für 35 US-Dollar

  10. Telltale Games

    The Walking Dead geht in die dritte Adventure-Staffel



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Überwachungssoftware: Ein warmes Mittagessen für den Staatstrojaner
Überwachungssoftware
Ein warmes Mittagessen für den Staatstrojaner
  1. Ex-CIA-Deutschlandchef Wir konnten Schröder leider nicht abhören
  2. Überwachung NSA-Ausschuss erwägt Einsatz mechanischer Schreibmaschinen
  3. Kontrollausschuss Die Angst der Abgeordneten, abgehört zu werden

Smartphone-Hersteller Xiaomi: Wie Apple, nur anders
Smartphone-Hersteller Xiaomi
Wie Apple, nur anders
  1. Flir One Wärmebildkamera fürs iPhone lieferbar
  2. Per Smartphone Paypal ermöglicht Bezahlen in Restaurants landesweit
  3. Datenübertragung Smartphone-Kompass spielt Musik durch Magnetkraft

Android L im Test: Google verflacht Android
Android L im Test
Google verflacht Android
  1. Android L Keine Updates für Entwicklervorschau geplant
  2. Inoffizieller Port Android L ist für das Nexus 4 verfügbar
  3. Android L Cyanogenmod entwickelt nicht anhand der Entwicklervorschau

    •  / 
    Zum Artikel