Security: Mindestens zwei Sicherheitslücken in aktueller Java-Version
Weiterhin Sicherheitslücken in Java (Bild: Andreas Donath/Golem.de)

Security Mindestens zwei Sicherheitslücken in aktueller Java-Version

Java SE 7 Update 11 ist anfällig für mindestens zwei Sicherheitslücken. Angreifer können darüber beliebigen Schadcode ausführen und ein fremdes System unter ihre Kontrolle bringen. Einen Patch gibt es bislang nicht.

Anzeige

Das Anfang der Woche von Oracle veröffentlichte Java SE 7 Update 11 hat weiterhin mindestens zwei Sicherheitslücken. Mit dem Update 11 sollte eine Zero-Day-Lücke geschlossen werden, die einige Tage zuvor bekanntwurde. Der Sicherheitsexperte Adam Gowdiak berichtet nun von zwei Sicherheitslöchern in der aktuellen Java-Version. Bereits seit Ende vergangener Woche ist neuer Exploit-Code für die aktuelle Java-Version im Umlauf. Derzeit ist nicht bekannt, ob der in Umlauf befindliche Exploit-Code eine dritte Sicherheitslücke oder aber die beiden von Gowdiak entdeckten Fehler ausnutzt.

Java-Applet kann Sandbox verlassen

Mit den von Gowdiak bemerkten Sicherheitslöchern in Java SE 7 Update 11 kann ein Java-Applet die Sandbox komplett verlassen und so außerhalb davon beliebigen Programmcode ausführen. Mit dem Update 11 wurde eine neue Sicherheitsfunktion in Java SE 7 integriert. Damit werden unsignierte oder selbst signierte Applets nur noch ausgeführt, wenn der Nutzer dem zuvor zugestimmt hat, erklärte Gowdiak Ars Technica. Das gelte auch für die von ihm gefundenen Sicherheitslücken, so dass eine automatische Ausführung von Schadcode nicht möglich sei.

Allerdings dürfte es für Angreifer ein Leichtes sein, Opfer mittels Social Engineering dazu zu bewegen, den Sicherheitsdialog zu bestätigen und den Schadcode damit auf den Rechner zu lassen, meint Gowdiak. Zudem könnte die Sicherheitsabfrage umgangen werden, indem Angreifer gültige Zertifikate stehlen, so dass das Applet als offiziell signiert gilt. Bisher gibt es von Oracle kein Java-Update, das diese Fehler beseitigt. Ob Oracle wieder einen Patch in den nächsten Tagen veröffentlichen wird, ist nicht bekannt. Das kommende reguläre Java-Update ist für den 19. Februar 2013 angesetzt.

Kürzlich hatten diverse staatliche Institutionen vor dem Einsatz von Java gewarnt und zur Deinstallation geraten, dazu zählte auch das Bundesamt für Sicherheit in der Informationstechnik.

Ganz ohne Java geht es in der Onlinewelt nicht überall. Einige Webseiten setzen Java zwingend voraus, so dass eine Deinstallation von Java keine Lösung ist, weil die betreffenden Webseiten dann nicht mehr verwendet werden können. Hier kann es helfen, nur die Java-Webseiten mit einem separaten Browser zu besuchen und nur in diesem die Ausführung von Java zu erlauben. In dem regulären Browser kann Java dann deaktiviert werden, so dass ein Angriff durch Java-Sicherheitslücken unwahrscheinlicher wird. Wer hingegen keine Webseiten besucht, die Java benötigen, kann es ganz deinstallieren.


BLi8819 21. Jan 2013

Nur das der jDownloader keine Homepage ist, die das Browser-Blugin benötigt. Und danach...

BLi8819 21. Jan 2013

Warum sollte Oracle Java nicht mögen?

Endwickler 21. Jan 2013

Hm, also ich kann auf Java ganz gut verzichten und wenn die Javaexperten hier mal wieder...

ViNic 21. Jan 2013

Das ist auch unter Linux möglich. Das geht aber auch aus Gründen der Bequemlichkeit...

paradigmshift 20. Jan 2013

Flash kannst du vielleicht auf YouTube vollkommen ersetzen mit FF und Chrome, aber au...

Kommentieren



Anzeige

  1. Ingenieur Elektrotechnik / Informationstechniker (m/w)
    IT Solutions GmbH, Frankfurt am Main
  2. Business Intelligence Expert (m/w) (BI-Management & -Reporting)
    DÖHLERGRUPPE, Darmstadt
  3. Leiter IT-Management (m/w)
    DEW21, Dortmund
  4. Servicemitarbeiter / innen IT-Arbeitsplatzdienste
    Landeshauptstadt München, München

 

Detailsuche


Folgen Sie uns
       


  1. Leistungsschutzrecht

    Kartellamt weist Beschwerde gegen Google zurück

  2. Projekt DeLorean

    Microsofts Game-Streaming rechnet 250 ms Latenz weg

  3. Digitale Agenda

    Bitkom fordert komplette Nutzung des 700-Megahertz-Bandes

  4. Watch Dogs

    Gezielt Freunde hacken

  5. Test Rules

    Gehirntraining für Fortgeschrittene

  6. Transformer Pad TF303

    Neues Asus-Tablet mit Full-HD-Display und Tastatur-Dock

  7. Kalifornien im Rechner

    Google wollte fahrerlose Autos nur in virtueller Welt testen

  8. Affen-Selfie

    US-Behörde spricht Tieren Urheberrechte ab

  9. LG PW700

    LED-Projektor funkt Ton per Bluetooth an Lautsprecher

  10. Formel E

    Motorsport zum Zuhören



Haben wir etwas übersehen?

E-Mail an news@golem.de



Raspberry B+ im Test: Sparsamer Nachfolger für mehr Bastelspaß
Raspberry B+ im Test
Sparsamer Nachfolger für mehr Bastelspaß
  1. Erweiterungsplatinen Der Raspberry Pi bekommt Hüte
  2. Odroid W Raspberry Pi-Klon für Fortgeschrittene
  3. Eric Anholt Langsamer Fortschritt bei Raspberry-Pi-Grafiktreiber

Computerspiele: Schlechtes Wetter macht gute Games
Computerspiele
Schlechtes Wetter macht gute Games
  1. Elgato Spiele von Xbox One und PS4 aufnehmen und streamen
  2. Let's Player "Es gibt Spiele, für die man bezahlt wird"
  3. Transocean Handelssimulation mit Ozeanriesen

Die Paten des Internets: Oliver Samwer - die "Execution-Sau"
Die Paten des Internets
Oliver Samwer - die "Execution-Sau"
  1. Samwer United Internet kauft großen Anteil von Rocket Internet
  2. Oliver Samwer "Sehr viele Unternehmen haben wir zu früh verkauft"
  3. Verivox Tarifvergleichsplattform Toptarif von Konkurrenten gekauft

    •  / 
    Zum Artikel