Java: Auch das neueste Sicherheitsupdate hat eine Lücke

Die neue Sicherheitslücke in Oracles jüngstem Java-Update, die Security Explorations meldete, ist bisher lediglich als “Proof of Concept” veröffentlicht. Bevor Cyberkriminelle dies nutzen können, prüft Oracle die Schwachstelle.

Nur wenige Stunden nach dessen Veröffentlichung hat das polnische Start-up Security Explorations die neue Sicherheitslücke in Java 7 Update 7 gefunden. Angreifer könnten die Anfälligkeit ausnutzen, um auf betroffenen Systemen beliebigen Schadcode einzuschleusen und außerhalb der Java-Sandbox auszuführen.

Das Update, das Oracle Ende vergangener Woche außerplanmäßig bereitgestellt hat, soll insgesamt vier Anfälligkeiten in JDK und JRE 7 Update 6 beseitigen. Darunter ist eine kürzlich gemeldete Zero-Day-Lücke, die Hacker bereits aktiv ausnutzen und die ebenfalls von Security Explorations entdeckt worden war.

Nach Angaben des polnischen Unternehmens ist das jüngste Loch die insgesamt zweiunddreißigste Java-Anfälligkeit, die Security Explorations an Oracle gemeldet hat. Der größte Teil davon sei noch nicht geschlossen. Oracle prüfe derzeit den neuen Fehlerbericht sowie den übermittelten Beispielcode für einen Exploit.

Schon zuvor hatte Adam Gowdiak, Gründer und CEO von Security Explorations, Oracles Patch-Politik kritisiert. “Wir haben erwartet, dass die gefährlichsten Lücken mit dem Juni-Patchday geschlossen würden. Das ist aber nicht passiert und Oracle hat viele Probleme nicht beseitigt und will sie erst beim nächsten Patchday angehen.” Oracle bringt nur viermal im Jahr Sicherheitsupdates für Java heraus, das nächste Mal am 16. Oktober.

Da es sich bei der jüngsten Lücke nur um ein “Proof-of-Concept” handelt und Security Explorations keine Details über die Schwachstelle öffentlich gemacht hat, besteht für Java-Nutzer bisher keine Gefahr. Allerdings kann jederzeit Schadcode für die Anfälligkeit auftauchen. Im Fall der in der vergangenen Woche geschlossenen Zero-Day-Lücke fand der Code seinen Weg auch in das Exploit-Kit Blackhole. Dessen Erfolgsrate stieg laut Seculet daraufhin von 10 Prozent auf 25 Prozent an.

Die jüngsten Java-Lücken sind auch eine Warnung gegen den Einsatz von Java oder ein frühzeitiges Update auf die neue Version 7. Nutzer, die Java nicht benötigen, sollten die Software von ihren System entfernen. Alle anderen sollten zumindest einen Wechsel von Java 6 zu Java 7 überdenken.

[mit Material von Topher Kessler, News.com]