Security: Java weiter unsicher
Noch sind nicht alle Sicherheitslücken in Java geschlossen. (Bild: Andreas Donath/Golem.de)

Security Java weiter unsicher

Auch nach dem letzten Patchday reißen die Meldungen über Sicherheitslücken in Java nicht ab. Jetzt ist eine neue Lücke in der Reflection-API bekanntgeworden. Damit sie greift, muss der Nutzer aber Warnhinweise ignorieren.

Anzeige

Der Sicherheitsexperte Adam Gowdiak hat eine weitere Sicherheitslücke in Java entdeckt, die auch in der aktuellen Version Java 7 Update 21 sowie im JRE-Plugin, in der Entwicklungsumgebung in Server JRE vorhanden ist. Sie kann genutzt werden, um die Sandbox-Funktion auf dem Opferrechner zu umgehen. Allerdings muss der Anwender einen entsprechenden Warnhinweis mit "OK" bestätigen, damit der Schadcode ausgeführt wird.

Gowdiak geht nicht auf die Details der von ihm entdeckten Lücke ein. Er verweist lediglich auf eine Lücke in dem Reflection-API, über das eine Java-Anwendung Klassen dynamisch nutzen kann. Die Lücke sei Oracle bekannt, schreibt der Sicherheitsexperte. Er habe Oracle bereits auf sie hingewiesen und ein entsprechendes Proof-of-Concept präsentiert. Oracle habe die Lücke bestätigt, aber noch nicht repariert. Damit sind noch drei Lücken in der Liste offen, die Gowdiak über die von ihm entdeckten Schwachstellen führt.

Nach Update noch Lücken

Erst vor wenigen Tagen hatte Oracle mit Java 7 Update 21 nach eigenen Angaben 42 Sicherheitslücken geschlossen. Mit dem Update hat Oracle auch die Warnhinweise erhöht, die der Nutzer erhält, wenn nicht vertrauenswürdiger Java-Code auf einer Webseite auftaucht.

Jüngst wurde bekannt, dass Angreifer Java nutzten, um sich Zugriff auf Rechner von Angestellten bei Facebook zu verschaffen. Oracle hat bereits mehrere Notfallpatches außer der Reihe veröffentlicht, nachdem Exploits für nichtgepatchte Sicherheitslücken aufgetaucht sind.

In einer Telefonkonferenz zu den Sicherheitsproblemen von Java hatte Oracle Ende Januar 2013 Besserung und mehr Transparenz in Bezug auf kritische Fragen versprochen.


emkay443 24. Apr 2013

Sofern das möglich und nicht bereits geschehen ist: Browserplugin von java deaktivieren...

Kernschmelze 24. Apr 2013

Wie ich solche Antworten liebe. Dir ist schon klar, dass deine Antwort hier über Google...

endmaster 23. Apr 2013

Das stimmt nicht so ganz. " Auch Pferde, deren Fell durch zahlreiche weiße Stichelhaare...

herojoker 23. Apr 2013

Nicht so ganz; durch das Bestätigen der Meldung hat der Angreifer durch Nutzerhilfe eine...

narfomat 23. Apr 2013

kt =)

Kommentieren



Anzeige

  1. Scrum Master (m/w)
    über HRM CONSULTING GmbH, Berlin
  2. Ingenieur / Techniker (m/w) IP Netzwerkdesign
    Siemens AG, Hamburg
  3. HF-Messingenieur (m/w) für die ASIC-Entwicklung
    ROHDE & SCHWARZ GmbH & Co. KG, München
  4. Technischer Kundenbetreuer (m/w) am Service-Desk für Videokommunikation
    MVC Mobile VideoCommunication GmbH, Kronberg (bei Frankfurt am Main)

 

Detailsuche


Folgen Sie uns
       


  1. Age of Wonders 3

    Erweiterung Golden Realms mit Halblingen

  2. Programmierschnittstelle

    Nvidias Cuda 6.5 für mehr Tempo und ARM64

  3. Laufzeitumgebung

    Teile von Unity werden quelloffen

  4. Megaupload

    Kim Dotcoms Vermögen bleibt weiter eingefroren

  5. Router

    AVM schließt Sicherheitslücke in MyFritz-App

  6. AntMe V2

    Programmieren lernen mit Ameisen

  7. Android

    Motorola arbeitet an einem 7-Zoll-Tablet

  8. Oculix

    Netflix mit Oculus Rift und Leap Motion steuern

  9. Frequenzen für Mobilfunker

    Wechsel von DVB-T auf DVB-T2 soll 2016 starten

  10. Xbox One

    Microsoft bietet Reparatur oder Umtausch an



Haben wir etwas übersehen?

E-Mail an news@golem.de



Alienware Alpha ausprobiert: Fast lautlose Steam-Machine mit eigenem Windows-UI
Alienware Alpha ausprobiert
Fast lautlose Steam-Machine mit eigenem Windows-UI
  1. Crytek Ryse für PC mit 4K-Videos belegt über 120 GByte
  2. Wirtschaftssimulation Golem Labs entwickelt die Gilde 3
  3. Wargaming Seeschlachten mit World of Warships

Die Paten des Internets: Oliver Samwer - die "Execution-Sau"
Die Paten des Internets
Oliver Samwer - die "Execution-Sau"
  1. Samwer United Internet kauft großen Anteil von Rocket Internet
  2. Oliver Samwer "Sehr viele Unternehmen haben wir zu früh verkauft"
  3. Verivox Tarifvergleichsplattform Toptarif von Konkurrenten gekauft

IT und Energiewende: Intelligenztest für Stromnetze und Politik
IT und Energiewende
Intelligenztest für Stromnetze und Politik

    •  / 
    Zum Artikel