Neue Sicherheitslücke in Oracles jüngstem Java-Update entdeckt
Nur wenige Stunden nachdem Oracle ein außerplanmäßiges Update für Java SE veröffentlicht hat, hat eine polnische Sicherheitsfirma eine neue Sicherheitslücke darin entdeckt. Die Schwachstelle erlaube das Ausführen von Schadcode außerhalb der Java-Sandbox.
Das Update, das Oracle Ende vergangener Woche außerplanmäßig bereitgestellt hat, soll insgesamt vier Anfälligkeiten in JDK und JRE 7 Update 6 beseitigen. Darunter ist eine kürzlich gemeldete Zero-Day-Lücke, die Hacker bereits aktiv ausnutzen und die ebenfalls von Security Explorations entdeckt worden war.
Nach Angaben des polnischen Start-ups Security Explorations ist das jüngste Loch die insgesamt zweiunddreißigste Java-Anfälligkeit, die Security Explorations an Oracle gemeldet hat. Der größte Teil davon sei noch nicht geschlossen. Oracle prüfe derzeit den neuen Fehlerbericht sowie den übermittelten Beispielcode für einen Exploit.
Schon zuvor hatte Adam Gowdiak, Gründer und CEO von Security Explorations, Oracles Patch-Politik kritisiert. “Wir haben erwartet, dass die gefährlichsten Lücken mit dem Juni-Patchday geschlossen würden. Das ist aber nicht passiert und Oracle hat viele Probleme nicht beseitigt und will sie erst beim nächsten Patchday angehen.” Oracle bringt nur viermal im Jahr Sicherheitsupdates für Java heraus, das nächste Mal am 16. Oktober.
Da es sich bei der jüngsten Lücke nur um ein “Proof-of-Concept” handelt und Security Explorations keine Details über die Schwachstelle öffentlich gemacht hat, besteht für Java-Nutzer bisher keine Gefahr. Allerdings kann jederzeit Schadcode für die Anfälligkeit auftauchen. Im Fall der in der vergangenen Woche geschlossenen Zero-Day-Lücke fand der Code seinen Weg auch in das Exploit-Kit Blackhole. Dessen Erfolgsrate stieg laut Seculet daraufhin von 10 Prozent auf 25 Prozent an.
[mit Material von Topher Kessler, News.com]
