Patches für kritische Sicherheitslücken in Java SE nun verfügbar
Oracle hat an seinem Oktober-Patchday ein Update für Java SE veröffentlicht, mit dem insgesamt 30 zum Teil als kritisch eingestufte Sicherheitslücken geschlossen werden. Es steht für Windows, Linux und Solaris zur Verfügung. Apple hat ebenfalls eine Aktualisierung bereitgestellt. Sie beseitigt 20 Schwachstellen in Java für Mac OS X ab Version 10.6.8.
Die Anfälligkeiten stecken in JDK und JRE 7 Update 7 und früher, 6 Update 35 und früher, 5.0 Update 36 und früher sowie SDK und JRE 1.42_38 und früher. Einer Sicherheitswarnung von Oracle zufolge ist auch JavaFX bis einschließlich Version 2.2 betroffen.
Das Risiko, das von zehn der jetzt behobenen Sicherheitslücken ausgeht, stuft Oracle als “kritisch” ein. Im zehnstufigen Common Vulnerability Scoring System (CVSS) sind sie mit 10.0 bewertet. Sie lassen sich durch nicht vertrauenswürdige Java-Web-Start-Applikationen sowie Webdienste ausnutzen, die Daten an Programmierschnittstellen senden. Oracle empfiehlt Kunden, die Updates so schnell wie möglich einzuspielen. Unter Windows werden sie über die automatische Updatefunktion verteilt. Sie lassen sich zudem auch von der Java-Website herunterladen.
19 der jetzt geschlossenen Sicherheitslücken wurden in den vergangenen Monaten von Security Explorations gemeldet. Das polnische Sicherheitsunternehmen kritisiert, dass Oracle eine Anfälligkeit, die es als kritisch einstuft, nicht behoben habe. Auf Nachfrage habe Oracle lediglich mitgeteilt, die Details zu der Schwachstelle seien zu spät eingereicht worden, um sie im Oktober zu schließen. Die Lücke werde aber beim nächsten Patchday im Februar 2013 berücksichtigt. Eigenen Angaben zufolge hatte Security Explorations Oracle am 25. September Beispielcode für die Anfälligkeit zur Verfügung gestellt.
Mac-Nutzern stehen das Java-Update 2012-006 für Mac OS X 10.7 Lion und Mac OS X 10.8 Mountain Lion sowie Java für Mac OS X 10.6 Update 11 zur Verfügung. Apple stopft damit insgesamt 20 Sicherheitslöcher. Unter anderem erlauben sie das Ausführen von Schadcode außerhalb der Java-Sandbox. Ob die laut Security Explorations ungepatchte Java-Lücke auch Apples Betriebssystem betrifft, ist unklar.