Crapware und Sicherheitslücken

Unsere Leser fragen sich unter Artikeln zu Sicherheitslücken in Java immer wieder, wie Java als Webplugin auf so viele Rechner kommt. Die Antwort gibt Sony. Auf dem Vaio Pro ist im Auslieferungszustand Java 7 installiert. Und zwar nicht in einer wenigstens halbwegs aktuellen Version, sondern in der Version Update 13. Das Update 13 von Java 7 hat Oracle eilig Anfang Februar 2013 veröffentlicht und damit mehr als zwei Dutzend besonders schwerwiegende Sicherheitslücken geschlossen. Das Problem hierbei: Oracle musste bis zum Java Update 25 fast 90 Sicherheitslücken schließen, von denen die meisten einerseits gefährlich sind und andererseits laut Oracle auch leicht ausgenutzt werden können.

• 

Wild Tangent Games sind vorinstalliert. (Screenshot: Golem.de)

Mit Sonys Vaio Pro geht der Nutzer ein unnötig hohes Risiko einer Infektion mit Schadsoftware schon in den ersten Wochen ein. Schließlich gilt jede zehnte deutsche Webseite als infiziert und in der Regel nutzen infizierte Webseiten Sicherheitslücken in Java aus. Das Vaio Pro hat übrigens in den ersten Tagen keine Update-Routine für Java gestartet. Auf Oracles Auto-Updater sollte sich der Nutzer keinesfalls verlassen.

Auf die Problematik angesprochen, sah Sony keine Probleme mit der Java-Installation. Die Firma teilte uns mit, dass "bei der Produktion der Vaio-Modelle grundsätzlich die jeweils aktuellsten Softwareversionen, die zum Produktionszeitpunkt verfügbar sind", verwendet würden. "Zusätzlichen Virenschutz" gibt es laut Sony außerdem "durch die vorinstallierte 30-tägige Testversion der Virenschutzsoftware von McAfee."

Flash ist nicht vorinstalliert

Sony verzichtet vorbildlicherweise auf die Installation von Adobes Flash, so dass Anwender, die das Plugin brauchen, gezwungen sind, die aktuelle Version zu installieren. Der Adobe Reader 11, den Sony installiert, hat hingegen viel Staub angesetzt. In der Version 11.0.0 erschien die PDF-Software im Jahr 2012 und hat ebenfalls zahlreiche bekannte Sicherheitslücken. Aktuelle Softwareversion kann das wohl kaum genannt werden. Das Windows-Image ist übrigens deutlich jünger und von Mitte Juni 2013. Sony hat also nicht etwa ein veraltetes Image des Betriebssystems auf das Vaio Pro angewandt. Insgesamt ist das eine sehr seltsame Kombination, und Sony sollte an den Prozessen bei der Softwareintegration arbeiten, um aktuelle Software zu ermöglichen, oder die Beigaben gleich ganz weglassen.

Sony installiert noch weitere Software. Dazu gehören Intels McAfee-Anti-Theft-Software, das XNA-Developer-Framework, vermutlich für die Spiele, die teils Updates benötigen und von Wildtangent stammen. Die Wildtangent-Software arbeitet mit gefälschten Download-Buttons in der Werbung, um sich zu finanzieren. So kann der Anwender mit Werbung etwa Plants vs. Zombies spielen und wird dabei dazu verleitet, den iLivid-Video-Download herunterzuladen, der sich wiederum im Internet Explorer festsetzt und die berüchtigte Ask-Software als Suchmaschine sowie den Torch-Browser installiert. Einen Link zum Download von fTalk gibt es ebenfalls dazu. Der unbedarfte Anwender bekommt also genug Möglichkeiten angeboten, sein System mit unerwünschter Software zu bestücken.