Java SE: Oracle und Apple beheben kritische Sicherheitslecks

Die Verwundbarkeiten treten in JDK und JRE 7 Update 7 und älter, 6 Update 35 und älter, 5.0 Update 36 und älter sowie SDK und JRE 1.42_38 und älter auf. Einer Sicherheitswarnung von Oracle zufolge ist auch JavaFX bis einschließlich Version 2.2 betroffen.

Insgesamt stuft Oracle zehn Sicherheitslücken als “kritisch” ein. Im zehnstufigen Common Vulnerability Scoring System (CVSS) erreichen sie den Höchstwert. Sie lassen sich durch nicht vertrauenswürdige Java-Web-Start-Applikationen sowie Webdienste ausnutzen, die Daten an Programmierschnittstellen senden. Oracle empfiehlt Kunden, die Updates so schnell wie möglich einzuspielen. Unter Windows werden sie über die automatische Updatefunktion verteilt. Sie lassen sich auch von der Java-Website herunterladen.

19 der jetzt geschlossenen Sicherheitslücken wurden in den vergangenen Monaten von Security Explorations gemeldet. Das polnische Sicherheitsunternehmen kritisiert, dass Oracle eine Anfälligkeit, die es als kritisch einstuft, nicht behoben hat. Auf Nachfrage habe Oracle lediglich mitgeteilt, die Details zu der Schwachstelle seien zu spät eingereicht worden, um sie im Oktober zu schließen. Die Lücke werde aber beim nächsten Patchday im Februar 2013 berücksichtigt. Security Explorations hatte nach eigenen Angaben Oracle bereits am 25. September Beispielcode für die Anfälligkeit zur Verfügung gestellt.

Mac-Nutzern stehen das Java-Update 2012-006 für Mac OS X 10.7 Lion und Mac OS X 10.8 Mountain Lion sowie Java für Mac OS X 10.6 Update 11 zur Verfügung. Apple stopft einem Hilfeartikel zufolge damit insgesamt 20 Sicherheitslöcher, die unter anderem das Ausführen von Schadcode außerhalb der Java-Sandbox erlauben sollen. Ob die laut Security Explorations ungepatchte Java-Lücke auch Apples Betriebssystem betrifft, ist unklar.

[mit Material von Stefan Beiersmann, ZDNet.de]