Abo
  • Services:
Anzeige
Java-Exploit mit Signatur
Java-Exploit mit Signatur (Bild: Eric Romang)

Eric Romang: Signierter Java-Exploit umgeht neue Sicherheitseinstellung

Java-Exploit mit Signatur
Java-Exploit mit Signatur (Bild: Eric Romang)

Eigentlich soll die neue Standard-Sicherheitseinstellung von Java für mehr Sicherheit sorgen, da nur noch signierte Java-Programme im Browser ohne Sicherheitswarnung ausgeführt werden. Doch nun ist ein erster signierter Java-Exploit aufgetaucht.

Auf einer Website der TU Chemnitz ist ein korrekt signierter Java-Exploit aufgetaucht. Die Signatur sorge dafür, dass das Programm auch in der neuen Standardeinstellung "Hoch" ohne Sicherheitswarnung ausgeführt wird, berichten der Sicherheitsexperte Eric Romang und Malware Domain List.

Anzeige

Laut Romang wurde über eine Sicherheitslücke in OpenX eine mit dem Exploit-Kit g01pack infizierte Java-Datei auf die Seiten des Projekts Beolingus eingeschleust. Sie wurde korrekt mit einem Zertifikat der US-Firma Clearesult Consulting Inc signiert.

Die seit Java 7 Update 11 geltende Standard-Sicherheitseinstellung gibt aber nur bei unsignierten Java-Programmen eine Warnung aus. Wäre ein selbsterstelltes oder nicht vertrauenswürdiges Zertifikat verwendet worden, würde Java eine Warnmeldung ausgeben, so Romang. So taucht der übliche Dialog beim Start einer Java-Applikation auf.

Im konkreten Fall sei das Zertifikat mit einem gestohlenen privaten Schlüssel erstellt worden, der auf Pastebin zu finden ist und von Godaddy bereits zurückgerufen wurde, so Jindrich Kubec, der als Director of Threat Intelligence beim Antivirenhersteller Avast arbeitet. Der Schlüssel sei von dessen Aussteller Godaddy zwar mit Wirkung zum 7. Dezember 2012 zurückgerufen worden, der Rückruf erfolgte laut Sophos am 25. Februar 2013. Die erste entsprechende Malware tauchte aber erst am 28. Februar 2013 auf.

Allerdings, so wundert sich Kubec, ist in seiner Java-Konfiguration die Prüfung auf zurückgerufene Zertifikate deaktiviert, während selbstsignierten Apps erweiterte Rechte eingeräumt werden.


eye home zur Startseite
Dr.Glitch 07. Mär 2013

Versteh mich nicht falsch, ich mag Java. Tolles Teil! Aber: ich halte ausnahmslos _jeden_...

ioxio 06. Mär 2013

Lol ? Java-expl0its sind für den Connaisseur die erste Wahl für Top-Level-Angriffe. Es...



Anzeige

Stellenmarkt
  1. Syna GmbH, Frankfurt am Main
  2. isento GmbH, Nürnberg
  3. BG-Phoenics GmbH, München
  4. Automotive Safety Technologies GmbH, Gaimersheim


Anzeige
Blu-ray-Angebote
  1. (u. a. The Big Bang Theory, The Vampire Diaries, True Detective)
  2. (u. a. Reign, Person of Interest, Gossip Girl, The Clone Wars)
  3. 24,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. Ubisoft

    Far Cry 5 bietet Kampf gegen Sekte in und über Montana

  2. Rockstar Games

    Waffenschiebereien in GTA 5

  3. Browser-Games

    Unreal Engine 4.16 unterstützt Wasm und WebGL 2.0

  4. Hasskommentare

    Bundesrat fordert zahlreiche Änderungen an Maas-Gesetz

  5. GVFS

    Windows-Team nutzt fast vollständig Git

  6. Netzneutralität

    Verbraucherschützer wollen Verbot von Stream On der Telekom

  7. Wahlprogramm

    SPD fordert Anzeigepflicht für "relevante Inhalte" im Netz

  8. Funkfrequenzen

    Bundesnetzagentur und Alibaba wollen Produkte sperren

  9. Elektromobilität

    Qualcomm lädt E-Autos während der Fahrt auf

  10. Microsoft

    Mixer soll schneller streamen als Youtube Gaming und Twitch



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Redmond Campus Building 87: Microsofts Area 51 für Hardware
Redmond Campus Building 87
Microsofts Area 51 für Hardware
  1. Windows on ARM Microsoft erklärt den kommenden x86-Emulator im Detail
  2. Azure Microsoft betreut MySQL und PostgreSQL in der Cloud
  3. Microsoft Azure bekommt eine beeindruckend beängstigende Video-API

3D-Druck bei der Bahn: Mal eben einen Kleiderhaken für 80 Euro drucken
3D-Druck bei der Bahn
Mal eben einen Kleiderhaken für 80 Euro drucken
  1. Bahnchef Richard Lutz Künftig "kein Ticket mehr für die Bahn" notwendig
  2. Flatrate Öffentliches Fahrradleihen kostet 50 Euro im Jahr
  3. Nextbike Berlins neues Fahrradverleihsystem startet

Google I/O: Google verzückt die Entwickler
Google I/O
Google verzückt die Entwickler
  1. Neue Version im Hands On Android TV bekommt eine vernünftige Kanalübersicht
  2. Play Store Google nimmt sich Apps mit schlechten Bewertungen vor
  3. Daydream Standalone-Headsets auf Preisniveau von Vive und Oculus Rift

  1. Re: So ein Unsinn ...

    schnedan | 16:49

  2. Re: Wie mache ich den Wählern ...

    plutoniumsulfat | 16:48

  3. Re: Toller Artikel, coole Technik

    Hotohori | 16:47

  4. Re: Gesundheitsrisiken?

    schnedan | 16:44

  5. Re: Die hohen Anschaffungskosten eines E-Autos...

    Stefan99 | 16:44


  1. 16:40

  2. 16:29

  3. 16:27

  4. 15:15

  5. 13:35

  6. 13:17

  7. 13:05

  8. 12:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel