Sicherheitsupdates: Zahlreiche Installer für DLL-Hijacking anfällig

Oracle hat ein außerplanmäßiges Security-Advisory veröffentlicht, das eine Schwachstelle im Java-Installationsprogramm für Windows beschreibt. Auch zahlreiche weitere Installer sind betroffen. Ein erfolgreicher Exploit ist recht aufwendig, hat aber potenziell weitreichende Folgen.

Artikel veröffentlicht am ,
Einige Versionen des Java-Installationsprogramms sind verwundbar.
Einige Versionen des Java-Installationsprogramms sind verwundbar. (Bild: Screenshot Golem.de)

Oracle schließt mit einem außerplanmäßigen Update eine Sicherheitslücke in Java JRE beziehungsweise dem Java JDK, über die Angreifer während des Installationsprozesses die Kontrolle über einen Rechner übernehmen können. Betroffen sind die Versionen 6, Update 111 sowie Version 7, Update 95 und JRE 8, Update 71 und 72, jeweils in der Version für Windows. Der Java SE Advanced Enterprise Installer soll nicht von der Sicherheitslücke betroffen sein, dafür aber zahlreiche weitere Programme wie VLC, iTunes und Truecrypt.

Stellenmarkt
  1. Doctoral Researcher / Graduate Research Assistant / Graduate Research Associate (m/f/d) at ... (m/w/d)
    Universität Passau, Passau
  2. Teamleiter UX-Design (m/w/d)
    experts, Berlin
Detailsuche

Die Schwachstelle kann nur während des Installationsprozesses ausgenutzt werden, ein erfolgreicher Angriff ist aber ohnehin relativ aufwendig durchzuführen. Denn der Exploit gelingt nur, wenn ein Angreifer den Nutzer zuvor auf eine speziell präparierte Webseite lockt und ihn überzeugt, verschiedene Dateien herunterzuladen. Details zu dieser Infektion nennt Oracle nicht. Sind die Voraussetzungen erfüllt, soll das System eines Nutzers komplett übernommen werden können. Dazu schieben die Angreifer dem Programm eine manipulierte DLL-Datei unter.

Nutzer sollen alte Installationsdateien wegschmeißen

Nutzer mit bestehenden Installationen müssen nach Angaben von Oracle nichts tun - weil der Fehler eben nur während der Installation ausgenutzt werden kann. Daher sollten nur möglicherweise vorhandene Installationsdateien entsorgt werden, um sich bei einer Neuinstallation nicht versehentlich zu infizieren. Über derzeit aktive Exploits ist nichts bekannt.

Die Schwachstelle hat die CVE-Signatur CVE-2016-0603. Die Lücke wird nicht als kritisch eingestuft - der CVSS-Base-Score (Common Vulnerability Scoring System) beträgt 7,6/10. Der nächste reguläre Patchday von Oracle ist der 19. April 2016.

Nachtrag vom 9. Februar 2016, 10:35 Uhr

Golem Akademie
  1. Webentwicklung mit React and Typescript: virtueller Fünf-Halbtage-Workshop
  2. Kotlin für Java-Entwickler: virtueller Zwei-Tage-Workshop
    03.–04. Februar 2022, Virtuell
Weitere IT-Trainings

Auch die Installationsprogramme zahlreicher weiterer populärer Programme weisen die gleiche Sicherheitslücke auf. Tatsächlich sind auch VLC, Winrar, Adobe, 7Zip, Google Chrome, Truecrypt und iTunes verwundbar. Auch einige Sicherheitsprogramme wie Zonealarm, Emsisoft, Eset Nod 32, Microsoft Security Essentials und Kaspersky sollen anfällig sein. Diese Liste ist nicht vollständig, eine Liste mit zahlreichen Bug-Reports findet sich hier. Der Hacker Stefan Kanthak hatte die Schwachstellen in zahlreichen Tests aufgedeckt. Er sagte zu Softpedia: "Mittlerweile haben die meisten von mir kontaktierten Hersteller die Sicherheitslücken gepatcht."

Die Sicherheitsfirma Fireeye hatte bereits im Jahr 2014 auf die Gefahren von DLL-Hijacking aufmerksam gemacht [Bericht als PDF].

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


IT-pr0fi 11. Feb 2016

Hinzu kommt der Installer, der als Standard die Ask Toolbar installieren wollte. Ich...

geeky 10. Feb 2016

Ich hab mal fix mit VS2015 eine einfache Setup.exe (ohne CRT) erstellt, die nur eine...

tingelchen 09. Feb 2016

Dann schmeiß ich Java lieber komplett runter :D

ww 09. Feb 2016

Interessante Vermutung von Dir, aber ich sprach hier über Java Applets und nicht über den...

b10111 09. Feb 2016

win10 - chrome/edge/ie - update heute - ask toolbar war nicht mehr dabei ob das auf...



Aktuell auf der Startseite von Golem.de
Raspberry Pi
Mit einem DVB-T-Stick die Wetterstation retten

Was kann man machen, wenn ein Regenmesser abraucht und man nicht die komplette Wetterstation neu kaufen will? Das Zauberwort heißt SDR.
Ein Bericht von Friedhelm Greis

Raspberry Pi: Mit einem DVB-T-Stick die Wetterstation retten
Artikel
  1. Coronapandemie: 42,6 Millionen mehr digitale Impfzertifikate als Impfdosen
    Coronapandemie
    42,6 Millionen mehr digitale Impfzertifikate als Impfdosen

    Einem Medienbericht zufolge gibt es eine Lücke zwischen ausgestellten Impfnachweisen und verabreichten Dosen. Diese wird sogar noch größer.

  2. Soziales Netzwerk: Facebook unterliegt am BGH im Streit um Klarnamenpflicht
    Soziales Netzwerk
    Facebook unterliegt am BGH im Streit um Klarnamenpflicht

    Facebook darf Pseudonyme nicht zwingend verbieten, das entschied nun der BGH. Allerdings auf alter Rechtsgrundlage.

  3. Ransomware: Qnap-NAS werden mit Zero Day angegriffen
    Ransomware
    Qnap-NAS werden mit Zero Day angegriffen

    Die Ransomware-Gruppe Deadbolt verschlüsselt NAS-Geräte von Qnap nach eigenen Angaben über eine bis dato unbekannte Sicherheitslücke.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RX 6900 XTU 16GB 1.449€ • Intel i7 3,6Ghz 399€ • Alternate: u.a. Acer Gaming-Monitor 119,90€ • Logitech Gaming-Headset 75€ • iRobot Saugroboter ab 289,99€ • 1TB SSD PCIe 4.0 128,07€ • Razer Gaming-Tastatur 155€ • GOG New Year Sale: bis zu 90% Rabatt • LG OLED 65 Zoll 1.599€ [Werbung]
    •  /