Logo von Security

Suche
Ronald Eikenberg 218

Kritische Java-Lücke wird im großen Stil ausgenutzt

Kriminelle nutzen derzeit zunehmend eine kritische Lücke in der Java-Laufzeitumgebung aus, um Rechner beim Besuch speziell präparierter Webseiten mit Schadcode zu infizieren. Laut dem renommierten Security-Blogger Brian Krebs ist das darauf zurückzuführen, dass das Arsenal des weit verbreiteten Exploit-Kits BlackHole um einen passenden Exploit ausgebaut wurde.

Durch die Lücke, die Oracle Mitte Februar gepatcht hat, kann Schadcode aus der Java-Sandbox ausbrechen und sich dauerhaft auf dem System verankern. Welche Art von Schadcode dabei injiziert wird, ist variabel. Unter anderem soll die Lücke zur Verbreitung des ZeuS-Trojaners genutzt werden.

Laut einer Analyse von Microsoft ist der Dropper in zwei Java-Klassen aufgeteilt. Die erste Klasse nutzt die Schwachstelle bei der Verarbeitung von Arrays aus, um an höhere Rechte zu gelangen und führt anschließend die Loader-Klasse aus, sich um das Herunterladen und das Installieren der Payload kümmert.


Mit der aktuellen Java-Version ist man vor dem Exploit geschützt. Vergrößern
Schützen kann man sich, indem man eine der derzeit aktuellen Java-Versionen 6 Update 31 oder 7 Update 3 installiert. Ob und welche Version des Browser-Plugins installiert ist, erfährt man auf dieser Testseite.

Allzu sicher sollte man sich jedoch selbst mit der aktuellsten Java-Version nicht fühlen: Brian Krebs berichtet von Gerüchten in Untergrundforen über einen neuen Exploit, der eine ungepatchte kritische Java-Lücke ausnutzt.

Wer auf Nummer sicher gehen will, kann Java auch komplett deinstallieren oder zumindest das Browser-Plugin deaktivieren. Letzteres dürfte sich aufgrund der stetig abnehmenden Verbreitung von Java auf die meisten Webseiten nicht auswirken.

Update: Mac-Nutzer haben das besondere Problem, dass das letzte offiziell von Apple ausgegebene Java-Update aus dem vergangenen November stammt. Hier empfiehlt sich, Java über das Dienstprogramm "Java-Einstellungen" (Java Preferences) komplett zu deaktivieren (Haken abwählen), bis eine Aktualisierung verfügbar ist. (rei)

218 Kommentare

Themen:

Anzeige
  1. Noch ein Zero-Day: Offene Lücke in Java wird angegriffen

    Java

    Diesmal ist nicht das Hacking Team schuld, die offene Lücke in Java muss aber trotzdem als gefährlich betrachtet werden. Angreifer können beliebigen Schadcode ausführen; einen Patch gibt es noch nicht.

  2. Sicherheitslücke: Java während Installation verwundbar

    Sicherheitslücke: Java während Installation verwundbar

    Oracle hat eine Schwachstelle in Java geschlossen. Mit vergleichsweise viel Aufwand können Angreifer die Lücke alleinig im Verlauf der Installation von Java ausnutzen, um Computer zu übernehmen.

  3. Oracle will Zero-Day-Lücke in WebLogic Server patchen

    Oracle will Zero-Day-Lücke in WebLogic Server patchen

    Oracle rückt von seinen Quartals-Sammel-Updates ab und kündigt einen Patch für den WebLogic Server an, um eine kritische Schwachstelle zu fixen.

  4. Adobe-Patchday: Kritische Lücken in Reader und Digital Editions

    Adobe-Patchday: Kritische Lücken in Reader und Digital Editions

    Ein monatliches Adobe-Update ohne Flash-Patches? Ja, das gibt es noch. Dafür dürfen diesmal auch eBook-Liebhaber patchen, falls sie Adobe Digital Editions verwenden.

  1. Kernel-Log – Was 3.17 bringt (3): Treiber

    Der Linux-Kernel unterstützt 4K-Monitore und moderne Radeon-Chips besser. Thunderbolt soll nun auch bei Apple-Systemen funktionieren. Der Rauswurf von mehr als einem Dutzend Treibern dürfte den Codeumfang von 3.17 gegenüber seinen Vorgängern verkleinern.

  2. Sichere Java-Webanwendungen, Teil 3: Fremdanbieter-Bibliotheken

    Sichere Java-Webanwendungen, Teil 3: Fremdanbieter-Bibliotheken

    Bei Bibliotheken von Fremdanbietern denken die wenigsten Java-Programmierer an Sicherheitsprobleme. Tatsächlich werden aber veraltete und bekannte verwundbare Bibliotheken zunehmend häufiger bei Angriffen auf Java-Webanwendungen ausgenutzt. Daher ist ein Umdenken gefordert: Regelmäßige Aktualisierungen der eingesetzten Bibliotheken sind ein absolutes Muss.

  3. Kernel-Log – Was 3.15 bringt (5): Treiber

    Linux kann jetzt nicht nur den Video-Encoder der neuen Radeon-Chips ansprechen, sondern auch Nvidias neueste Grafikchipfamilie. Der neue Kernel unterstützt aktuelle Thinkpads besser und entlockt manchen USB-3.0-Datenträgern mehr Geschwindigkeit.

  1. Unterwegs im DS E-Tense: Morgengöttin

    Citroen, Elektroautos, alternative Antriebe

    Manchmal öffnet sich ein Fenster in die Zukunft. Eins, das den Blick freigibt auf eine kommende und gute Zeit: DS, die dritte Marke des französischen PSA-Konzerns, hat im Rahmen der Formel E in Berlin die Studie E-Tense gezeigt

  2. Wohnmodul für Raumstation ISS erfolgreich aufgepumpt

    Wohnmodul für Raumstation ISS erfolgreich aufgepumpt

    Der Weltraumballon mit einem Durchmesser von rund 3,2 Metern soll die Kosten und das Gewicht von Raumstationen dramatisch verringern. Aber hält er auch der kosmischen Strahlung stand?

  3. c't uplink 12.0: Chatbots / Powerbanks / Helium-Festplatten

    c't uplink 12.0: Chatbots / Powerbanks / Helium-Festplatten

    Neue Sendung, neuer Moderator: Weil die c't-uplink-Gang nachsitzen muss, regelt Volker Zota dieses Mal die Sendung, um der es um automatische Chats, Strom für unterwegs und Riesenfestplatten geht.

  4. US-Studie: Handystrahlung verursacht angeblich doch Krebs

    Studie: Handystrahlung verursacht angeblich doch Krebs

    Eine von der US-Regierung beauftragte Studie will eine Verbindung zwischen Handy-Strahlung und Krebs gefunden haben. Die mehrjährige Studie an Ratten könnte die Sichtweise auf die Gefahren des Mobilfunks grundlegend verändern.

Anzeige