Logo von Security

Suche
218

Kritische Java-Lücke wird im großen Stil ausgenutzt

Kriminelle nutzen derzeit zunehmend eine kritische Lücke in der Java-Laufzeitumgebung aus, um Rechner beim Besuch speziell präparierter Webseiten mit Schadcode zu infizieren. Laut dem renommierten Security-Blogger Brian Krebs ist das darauf zurückzuführen, dass das Arsenal des weit verbreiteten Exploit-Kits BlackHole um einen passenden Exploit ausgebaut wurde.

Anzeige

Durch die Lücke, die Oracle Mitte Februar gepatcht hat, kann Schadcode aus der Java-Sandbox ausbrechen und sich dauerhaft auf dem System verankern. Welche Art von Schadcode dabei injiziert wird, ist variabel. Unter anderem soll die Lücke zur Verbreitung des ZeuS-Trojaners genutzt werden.

Laut einer Analyse von Microsoft ist der Dropper in zwei Java-Klassen aufgeteilt. Die erste Klasse nutzt die Schwachstelle bei der Verarbeitung von Arrays aus, um an höhere Rechte zu gelangen und führt anschließend die Loader-Klasse aus, sich um das Herunterladen und das Installieren der Payload kümmert.


Mit der aktuellen Java-Version ist man vor dem Exploit geschützt. Vergrößern
Schützen kann man sich, indem man eine der derzeit aktuellen Java-Versionen 6 Update 31 oder 7 Update 3 installiert. Ob und welche Version des Browser-Plugins installiert ist, erfährt man auf dieser Testseite.

Allzu sicher sollte man sich jedoch selbst mit der aktuellsten Java-Version nicht fühlen: Brian Krebs berichtet von Gerüchten in Untergrundforen über einen neuen Exploit, der eine ungepatchte kritische Java-Lücke ausnutzt.

Wer auf Nummer sicher gehen will, kann Java auch komplett deinstallieren oder zumindest das Browser-Plugin deaktivieren. Letzteres dürfte sich aufgrund der stetig abnehmenden Verbreitung von Java auf die meisten Webseiten nicht auswirken.

Update: Mac-Nutzer haben das besondere Problem, dass das letzte offiziell von Apple ausgegebene Java-Update aus dem vergangenen November stammt. Hier empfiehlt sich, Java über das Dienstprogramm "Java-Einstellungen" (Java Preferences) komplett zu deaktivieren (Haken abwählen), bis eine Aktualisierung verfügbar ist. (rei)

218 Kommentare

Themen:

  1. Kritische Lücke im Flash-Player: Adobe beginnt Update-Auslieferung

    Kritische Lücke im Flash-Player: Adobe beginnt Update-Auslieferung

    Adobe hat sich Zeit damit gelassen, eine schwerwiegende Lücke im Flash-Player zu stopfen: Nun werden seit Samstag endlich über den Auto-Updater sichere Versionen verteilt.

  2. So schützen Sie sich vor der Flash-Lücke

    So schützen Sie sich vor der Flash-Lücke

    Während Adobe weiterhin keine konkreten Schutzmaßnahmen kennt oder nennt, rät das BSI ganz klar zur Deinstallation des Flash Player. Wer nicht handelt und Flash weiterhin aktiv lässt, geht ein großes Risiko ein.

  3. Adobe-Patchday: Updates für kritische Lücken in Flash, Acrobat und Reader

    Adobe hat zwei Updates veröffentlicht, die sieben Lücken in Flash und ein Loch in Adobe Acrobat und Reader stopfen. Die Patches haben laut Adobe die höchste Prioritätsstufe und sollten so schnell wie möglich installiert werden.

  1. Vulkanausbruch auf Java

    Ein Programmierfehler macht das ganze ausgefeilte Sicherheitskonzept von Java hinfällig. Denn der Exploit schaltet den Schutz einfach ab.

  2. Java fördert nun signierte Applets

    Java kommt seit einigen Monaten nicht aus der Schusslinie. Oracle reagiert auf die Sicherheitslöcher konsequent, aber vergleichsweise lautlos. Am 16. April 2013 ist Java 7 Update 21 mit der bisher weitreichendsten Änderung erschienen. Die Sicherheitseinstellungen erlauben das lautlose Ausführen unsignierter Applets nicht mehr.

  3. Write once, bugs everywhere

    Wie lange Oracle noch die Sicherheitsprobleme in seinen Produkten auf die leichte Schulter nehmen will, fragt sich iX-Redakteur Christian Kirsch.

  1. Selbstläufer

    Unterwegs im Porsche Macan S Diesel

    Porsche hat mit dem Macan offenbar einen Volltreffer beim Geschmack der Kunden gelandet. Die Deutschen greifen zu rund 70 Prozent zur Selbstzünderversion, die ab 59.120 Euro zu haben ist. Wir stiegen in den Macan S Diesel um ein Gespür dafür zu kriegen, was dieses Auto so attraktiv macht

  2. Komfort kompakt

    Fahrbericht: Hyundai Tucson 1.6 T-GDI

    Hyundais neues, altes Erfolgsmodell ist der Tucson. Nach einer Episode, in der er ix35 genannt wurde, heißt er nun wieder so wie seine erste Ausgabe von 2005. Wir haben den Hyundai mit seinem neuen 1,6 Liter großen Vierzylinder-Ottomotor und dem ebenfalls neuen Doppelkupplungsgetriebe probiert

  3. Auf Tour im Mercedes Viano Marco Polo

    Mit dem Marco Polo auf Viano-Basis bietet Mercedes ab Werk einen unmittelbaren Konkurrenten des VW California an. Mit dem Facelift erhält der Schwabe einen modernisierten 3,0-Liter-Diesel

  4. Prius' Bruder

    Unterwegs im Toyota Mirai

    Der Toyota Mirai nutzt viele Komponenten des kommenden Prius. Den Strom für den 113 kW (155 PS) starken Elektromotor produziert eine wasserstoffbetriebene Brennstoffzelle. Wir fuhren ein Vorserienexemplar des Mirai erstmals in Deutschland ausführlich Probe

Anzeige