Endlich: Oracle schließt ausgenutzte Java-Lecks
Exploits für die Java-Lecks, darunter eine Zero-Day-Lücke, die erst jüngst allgemein bekannt wurde, aber von der Oracle schon seit April wusste, werden nun unterbunden. Oracle hat ein außerplanmäßiges Update für Java SE veröffentlicht. Es stopft insgesamt vier Löcher in JDK und JRE 7 Update 6 und früher sowie JDK und JRE 6 Update 34 und früher. D
Zuvor war bekannt geworden, dass Oracle die Schwachstellen schon seit April kennt. Das polnische Start-up Security Explorations, das Oracle in seiner Sicherheitsmeldung als Entdecker der Lücken nennt, hat den Softwareanbieter nach eigenen Angaben schon vor Monaten über insgesamt 31 Anfälligkeiten informiert. Oracle habe im Juni bei seinem letzten regulären Patchday aber nur vier beseitigt. Am 23. August habe das Unternehmen mitgeteilt, es werde mindestens 19 weitere Löcher mit dem nächsten geplanten Patchday im Oktober stopfen.
Im Gespräch mit The Register sagte Adam Gowdiak, Gründer und CEO von Security Explorations: “Wir haben erwartet, dass die gefährlichsten Lücken mit dem Juni-Patchday geschlossen würden. Das ist aber nicht passiert und Oracle hat viele Probleme nicht gepatcht und will sie erst beim nächsten Patchday ansprechen.” Oracle solle für Zero-Day-Lücken, die die Sicherheit der Java-Nutzer gefährdeten, außerplanmäßige Updates in Betracht ziehen, ergänzte Gowdiak.
Drei der vier mit dem jetzt bereitgestellten Patch behobenen Fehler stecken in der Java-Komponente Beans. Sie lassen sich durch nicht vertrauenswürdige Java-Web-Start-Applikationen sowie Java-Applets ausnutzen. Das von ihnen ausgehende Risiko stuft Oracle als “kritisch” ein. Im zehnstufigen Common Vulnerability Scoring System (CVSS) sind sie mit 10.0 bewertet.
Die vierte Schwachstelle lässt sich Oracle zufolge nicht direkt ausnutzen. Sie könne aber verwendet werden, um die Folgen anderer Lücken, die sich direkt ansprechen lassen, zu verschlimmern.
Die Angriffe auf die Java-Lücken hatten in den vergangenen Tagen deutlich zugenommen. Symantec meldete beispielsweise Attacken von Hackern, die 2011 für Aktionen gegen Chemiekonzerne verantwortlich waren. Seculet wiederum registrierte einen Anstieg der Infektionen durch das Exploit-Kit Blackhole. “Eine ungepatchte Zero-Day-Lücke in einem Exploit Kit ist der Albtraum für jeden IT-Sicherheitsmanager. Normalerweise hat ein gutes Kit wie Blackhole eine Erfolgsrate von etwa 10 Prozent.” Mit einer neuen Version, die Exploits für die Java-Lücke enthalte, habe sich die Rate auf 25 Prozent erhöht.
Windows-Nutzer erhalten die neue Java-Version über die automatische Updatefunktion. Sie lässt sich auch von der Java-Website herunterladen.
[mit Material von Rachel King, ZDNet.com, und Tom Brewster, TechWeekEurope]