Schweres Sicherheitsleck in Suns Java-Engine

Fehler in Java-Plug-In-Technik betrifft Internet Explorer, Firefox und Mozilla

Eine schwere Sicherheitslücke haben die Sicherheitsexperten von iDefense in der Plug-In-Architektur der Java 2 Runtime Environment Standard Edition (JRE) entdeckt, die es Angreifern gestattet, auf einem fremden Rechner beliebigen Programmcode auszuführen. Sun bietet bereits eine Version an, die das Sicherheitsloch in der Java-Engine schließt und so Windows- und Linux-Systeme gegen entsprechende Attacken schützt. Außerdem wurde eine weniger gefährliche Sicherheitsanfälligkeit in der Java-Implementierung von Opera entdeckt.

Artikel veröffentlicht am 23. November 2004, 10:30 Uhr, Ingo Pakalski

Wie die Sicherheitsexperten von iDefense in einem Security Bulletin berichten, gestattet ein Sicherheitsloch in der Plug-In-Architektur der Java Engine, die Sicherheitseinschränkungen der Java-Sandbox zu umgehen. So lässt sich über JavaScript-Kommandos eine "unsafe class" laden, was normalerweise über ein Java-Applet nicht möglich sein sollte.

Das versetzt einen Angreifer in die Lage, beliebigen Programmcode über bösartige Java-Applets auf fremde Systeme zu schleusen, beliebige Daten von einem solchen System zu laden oder auf das Netzwerk eines anderen Nutzers zuzugreifen. Da sich Programmcode mit den Rechten des Nutzers ausführen lässt, verhilft das zu einer weit reichenden Kontrolle über das entsprechende System. Ein Opfer muss nur dazu gebracht werden, ein entsprechendes Java-Applet in einem der betroffenen Browser zu laden, zu denen der Internet Explorer, Mozilla und Firefox zählen, wobei Letztere sowohl auf der Windows- als auch auf der Linux-Plattform angreifbar sind. Nach Ansicht von iDefense könnte ein Angreifer einen plattformunabhängigen Exploit schreiben, der sowohl unter Windows als auch unter Linux für einen Angriff genutzt werden kann.

Das Sicherheitsloch wurde für die Java 2 Platform Standard Edition (J2SE) 1.4.2_01 und 1.4.2_04 bestätigt, könnte aber auch in früheren Versionen der Java-Engine stecken. Sun bietet mit der J2SE 1.4.2_06 bereits eine aktuelle Version kostenlos zum Download an, in der der Fehler behoben wurde.

Die aktuelle Opera-Version 7.54 ist von diesem Problem nicht betroffen, weil Opera - im Unterschied zu den anderen Web-Browsern - die Java-Funktionen nicht über die Plug-In-Technik einbindet, sondern sich für eine andere Methode entschieden hat. In dieser wurde dafür eine andere, als weniger gefährlich eingestufte Sicherheitsanfälligkeit gefunden, worüber Angreifer Angaben zum Home-Verzeichnis sowie den Java-Installationspfad auslesen können. Außerdem lässt sich darüber Opera gezielt zum Absturz bringen.

Der Fehler wurde für Opera 7.54 bestätigt, dürfte sich aber auch in früheren Opera-Versionen wiederfinden. Derzeit bietet Opera keine aktuelle Final-Version an, die den Fehler behebt. Nur in der Vorabversion von Opera 7.60 wurde das Problem beseitigt; eine Final-Version von Opera 7.60 wird für Ende des Jahres erwartet.