Zero-Day-Lücke in Java 7 gestopft

Eine der Schwachstellen wird bereits aktiv ausgenutzt. Ein Angreifer könnte Schadcode einschleusen und die vollständige Kontrolle über ein betroffenes System übernehmen. Ein Opfer muss dafür lediglich eine manipulierte Website besuchen, die den gefährlichen Code enthält.

Das außerplanmäßige Update – Oracles nächster regulärer Patchday findet an diesem Dienstag (15.Januar) statt – stopft ein weiteres Loch, das die Ausführung von Schadcode innerhalb der Java-Sandbox erlaubt. Beide Fehler treten nur in Java 7 auf. Ältere Versionen der Laufzeitumgebung sind nicht betroffen. Außerdem weißt Oracle in einem Advisory darauf hin, dass eigenständige Java-Anwendungen, Java auf Servern und eingebettete Java-Applikationen ebenfalls nicht anfällig sind.

Darüber hinaus verändert Oracle die Art, in der Java mit Web-Anwendungen interagiert. “Die voreingestellte Sicherheitsstufe für Java-Applets und Web-Start-Applikationen wurde von “mittel” auf “hoch” erhöht”, schreibt Oracle. “Das betrifft die Bedingungen, unter den unsignierte Java-Webanwendungen ausgeführt werden können. Durch die Einstellung ‘hoch’ wird der Nutzer jedes Mal gewarnt, bevor eine unsignierte Applikation ausgeführt wird, um eine Ausnutzung im Hintergrund zu verhindern.”

Ende vergangener Woche hatte der Blog “Malware Don’t Need Coffee” den Fehler gemeldet. Das Sicherheitsunternehmen AlienVault Labs bestätige kurz darauf die Existenz der Schwachstelle. Sophos identifizierte zudem den Trojaner “Mal/JavaJar-B“, der die Lücke unter Windows, Linux und Unix ausnutzt. Beispiele für den Schadcode sind zudem in mehreren bekannten Exploit-Kits enthalten, darunter auch “Blackhole”.

Am Freitag warnte auch das Bundesamt für Sicherheit in der Informationstechnik vor der Anfälligkeit. Ähnlich wie seine Kollegen vom US-CERT riet es Nutzern, Java bis zur Veröffentlichung eines Updates zu deaktivieren. Anwender, die auf Java angewiesen sind, sollten von daher den jetzt von Oracle freigegeben Patch so schnell wie möglich einspielen.

[mit Material von Steven Musil, News.com]