Update schließt Zero-Day-Lücke in Java 7

Oracle hat ein außerplanmäßiges Update für Java SE veröffentlicht. Es stopft insgesamt vier Löcher, darunter ist eine kürzlich gemeldete Zero-Day-Lücke, die Hacker bereits aktiv ausnutzen.

Konkret stecken die Schwachstellenn in JDK und JRE 7 Update 6 und früher sowie JDK und JRE 6 Update 34 und früher.

Zuvor war bekannt geworden, dass Oracle angeblich schon seit April von den Schwachstellen wusste. Das polnische Start-up Security Explorations, das Oracle in seiner Sicherheitsmeldung als Entdecker der Lücken nennt, hat den Softwareanbieter nach eigenen Angaben schon vor Monaten über insgesamt 31 Anfälligkeiten informiert. Oracle habe im Juni bei seinem letzten regulären Patchday aber nur vier beseitigt. Am 23. August habe das Unternehmen mitgeteilt, es werde mindestens 19 weitere Löcher mit dem nächsten geplanten Patchday im Oktober stopfen.

Im Gespräch mit The Register sagte Adam Gowdiak, Gründer und CEO von Security Explorations: “Wir haben erwartet, dass die gefährlichsten Lücken mit dem Juni-Patchday geschlossen würden. Das ist aber nicht passiert und Oracle hat viele Probleme nicht beseitigt und will sie erst beim nächsten Patchday angehen.” Oracle solle für Zero-Day-Lücken, die die Sicherheit der Java-Nutzer gefährdeten, außerplanmäßige Updates in Betracht ziehen, ergänzte Gowdiak.

Die Angriffe auf die Java-Lücken hatten in den vergangenen Tagen deutlich zugenommen. Symantec meldete beispielsweise Attacken von Hackern, die 2011 für Aktionen gegen Chemiekonzerne verantwortlich waren. Seculet wiederum registrierte einen Anstieg der Infektionen durch das Exploit-Kit Blackhole. “Eine ungepatchte Zero-Day-Lücke in einem Exploit Kit ist der Albtraum für jeden IT-Sicherheitsmanager. Normalerweise hat ein gutes Kit wie Blackhole eine Erfolgsrate von etwa 10 Prozent.” Mit einer neuen Version, die Exploits für die Java-Lücke enthalte, habe sich die Rate auf 25 Prozent erhöht.