Abo
  • Services:
Anzeige
Einige Versionen des Java-Installationsprogramms sind verwundbar.
Einige Versionen des Java-Installationsprogramms sind verwundbar. (Bild: Screenshot Golem.de)

Sicherheitsupdates: Zahlreiche Installer für DLL-Hijacking anfällig

Einige Versionen des Java-Installationsprogramms sind verwundbar.
Einige Versionen des Java-Installationsprogramms sind verwundbar. (Bild: Screenshot Golem.de)

Oracle hat ein außerplanmäßiges Security-Advisory veröffentlicht, das eine Schwachstelle im Java-Installationsprogramm für Windows beschreibt. Auch zahlreiche weitere Installer sind betroffen. Ein erfolgreicher Exploit ist recht aufwendig, hat aber potenziell weitreichende Folgen.

Oracle schließt mit einem außerplanmäßigen Update eine Sicherheitslücke in Java JRE beziehungsweise dem Java JDK, über die Angreifer während des Installationsprozesses die Kontrolle über einen Rechner übernehmen können. Betroffen sind die Versionen 6, Update 111 sowie Version 7, Update 95 und JRE 8, Update 71 und 72, jeweils in der Version für Windows. Der Java SE Advanced Enterprise Installer soll nicht von der Sicherheitslücke betroffen sein, dafür aber zahlreiche weitere Programme wie VLC, iTunes und Truecrypt.

Anzeige

Die Schwachstelle kann nur während des Installationsprozesses ausgenutzt werden, ein erfolgreicher Angriff ist aber ohnehin relativ aufwendig durchzuführen. Denn der Exploit gelingt nur, wenn ein Angreifer den Nutzer zuvor auf eine speziell präparierte Webseite lockt und ihn überzeugt, verschiedene Dateien herunterzuladen. Details zu dieser Infektion nennt Oracle nicht. Sind die Voraussetzungen erfüllt, soll das System eines Nutzers komplett übernommen werden können. Dazu schieben die Angreifer dem Programm eine manipulierte DLL-Datei unter.

Nutzer sollen alte Installationsdateien wegschmeißen

Nutzer mit bestehenden Installationen müssen nach Angaben von Oracle nichts tun - weil der Fehler eben nur während der Installation ausgenutzt werden kann. Daher sollten nur möglicherweise vorhandene Installationsdateien entsorgt werden, um sich bei einer Neuinstallation nicht versehentlich zu infizieren. Über derzeit aktive Exploits ist nichts bekannt.

Die Schwachstelle hat die CVE-Signatur CVE-2016-0603. Die Lücke wird nicht als kritisch eingestuft - der CVSS-Base-Score (Common Vulnerability Scoring System) beträgt 7,6/10. Der nächste reguläre Patchday von Oracle ist der 19. April 2016.

Nachtrag vom 9. Februar 2016, 10:35 Uhr

Auch die Installationsprogramme zahlreicher weiterer populärer Programme weisen die gleiche Sicherheitslücke auf. Tatsächlich sind auch VLC, Winrar, Adobe, 7Zip, Google Chrome, Truecrypt und iTunes verwundbar. Auch einige Sicherheitsprogramme wie Zonealarm, Emsisoft, Eset Nod 32, Microsoft Security Essentials und Kaspersky sollen anfällig sein. Diese Liste ist nicht vollständig, eine Liste mit zahlreichen Bug-Reports findet sich hier. Der Hacker Stefan Kanthak hatte die Schwachstellen in zahlreichen Tests aufgedeckt. Er sagte zu Softpedia: "Mittlerweile haben die meisten von mir kontaktierten Hersteller die Sicherheitslücken gepatcht."

Die Sicherheitsfirma Fireeye hatte bereits im Jahr 2014 auf die Gefahren von DLL-Hijacking aufmerksam gemacht [Bericht als PDF].


eye home zur Startseite
IT-pr0fi 11. Feb 2016

Hinzu kommt der Installer, der als Standard die Ask Toolbar installieren wollte. Ich...

geeky 10. Feb 2016

Ich hab mal fix mit VS2015 eine einfache Setup.exe (ohne CRT) erstellt, die nur eine...

tingelchen 09. Feb 2016

Dann schmeiß ich Java lieber komplett runter :D

ww 09. Feb 2016

Interessante Vermutung von Dir, aber ich sprach hier über Java Applets und nicht über den...

b10111 09. Feb 2016

win10 - chrome/edge/ie - update heute - ask toolbar war nicht mehr dabei ob das auf...



Anzeige

Stellenmarkt
  1. Hessischer Rundfunk Anstalt des öffentlichen Rechts, Frankfurt
  2. IAV GmbH - Ingenieurgesellschaft Auto und Verkehr, Gifhorn
  3. MBtech Group GmbH & Co. KGaA, Sindelfingen
  4. Detecon International GmbH, Köln


Anzeige
Hardware-Angebote
  1. ab 219,90€
  2. (u. a. Asus GTX 1070 Strix, MSI GTX 1070 Gaming X 8G, Inno3D GTX 1070 iChill)
  3. (u. a. Asus GTX 1070 Strix OC, MSI GTX 1070 Gaming X 8G und Aero 8G OC)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing
  2. Kritische Bereiche der IT-Sicherheit in Unternehmen
  3. Sicherheitskonzeption für das App-getriebene Geschäft


  1. Exo-Planet

    Der Planet von Proxima Centauri

  2. Microsoft

    Windows 10 Enterprise kommt als Abo

  3. Umwelthilfe

    Handel ignoriert Rücknahmepflicht von Elektrogeräten

  4. 25 Jahre Linux

    Besichtigungstour zu den skurrilsten Linux-Distributionen

  5. Softrobotik

    Oktopus-Roboter wird mit Gas angetrieben

  6. Anniversary Update

    Kindle-Reader lässt Windows 10 abstürzen

  7. Sichtschutz

    HP Sure View gegen seitliche Einblicke auf Notebooks

  8. SWEET32

    Kurze Verschlüsselungsblöcke sorgen für Kollisionen

  9. Mobilfunk

    Telekom bietet Apple Music wohl als Streamingoption an

  10. Android 7.0

    Erste Nougat-Portierungen für Nexus 5 und Nexus 7 verfügbar



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
­Cybersyn: Chiles Traum von der computergesteuerten Planwirtschaft
­Cybersyn
Chiles Traum von der computergesteuerten Planwirtschaft
  1. Princeton Piton Open-Source-Chip soll System mit 200.000 Kernen ermöglichen
  2. Programmiersprache Go 1.7 läuft schneller und auf IBM-Mainframes
  3. Adecco IBM will Helpdesk-Geschäft in Erfurt und Leipzig loswerden

Thinkpad X1 Carbon 2013 vs 2016: Drei Jahre, zwei Ultrabooks, eine Erkenntnis
Thinkpad X1 Carbon 2013 vs 2016
Drei Jahre, zwei Ultrabooks, eine Erkenntnis
  1. Huawei Matebook im Test Guter Laptop-Ersatz mit zu starker Konkurrenz
  2. iPad Pro Case Razer zeigt flache mechanische Switches
  3. Thinkpwn Lenovo warnt vor mysteriöser Bios-Schwachstelle

Asus PG248Q im Test: 180 Hertz erkannt, 180 Hertz gebannt
Asus PG248Q im Test
180 Hertz erkannt, 180 Hertz gebannt
  1. Raspberry Pi 3 Booten über USB oder per Ethernet
  2. Autonomes Fahren Mercedes stoppt Werbespot wegen überzogener Versprechen
  3. Radeon RX 480 Dank DX12 und Vulkan reicht auch eine Mittelklasse-CPU

  1. Re: Welchen.....

    lustiger Lurch | 13:12

  2. Re: Was ist eine Distribution...

    chewbacca0815 | 13:10

  3. Re: Soso, "Deutsche Umwelthilfe" ...

    Niaxa | 13:09

  4. Re: Mit welcher Datenrate (Qualität) wird über...

    picaschaf | 13:06

  5. Re: VR? Verlangte ein Werbekunde das Buzzword...

    spyro2000 | 13:04


  1. 13:22

  2. 13:00

  3. 12:45

  4. 12:02

  5. 11:57

  6. 10:54

  7. 10:33

  8. 09:31


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel