Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.508.171 Produkten

Ronald Eikenberg 218

Alert Kritische Java-Lücke wird im großen Stil ausgenutzt Update

Kriminelle nutzen derzeit zunehmend eine kritische Lücke in der Java-Laufzeitumgebung aus, um Rechner beim Besuch speziell präparierter Webseiten mit Schadcode zu infizieren. Laut dem renommierten Security-Blogger Brian Krebs ist das darauf zurückzuführen, dass das Arsenal des weit verbreiteten Exploit-Kits BlackHole um einen passenden Exploit ausgebaut wurde.

Durch die Lücke, die Oracle Mitte Februar gepatcht hat, kann Schadcode aus der Java-Sandbox ausbrechen und sich dauerhaft auf dem System verankern. Welche Art von Schadcode dabei injiziert wird, ist variabel. Unter anderem soll die Lücke zur Verbreitung des ZeuS-Trojaners genutzt werden.

Laut einer Analyse von Microsoft ist der Dropper in zwei Java-Klassen aufgeteilt. Die erste Klasse nutzt die Schwachstelle bei der Verarbeitung von Arrays aus, um an höhere Rechte zu gelangen und führt anschließend die Loader-Klasse aus, sich um das Herunterladen und das Installieren der Payload kümmert.


Mit der aktuellen Java-Version ist man vor dem Exploit geschützt. Vergrößern
Schützen kann man sich, indem man eine der derzeit aktuellen Java-Versionen 6 Update 31 oder 7 Update 3 installiert. Ob und welche Version des Browser-Plugins installiert ist, erfährt man auf dieser Testseite.

Allzu sicher sollte man sich jedoch selbst mit der aktuellsten Java-Version nicht fühlen: Brian Krebs berichtet von Gerüchten in Untergrundforen über einen neuen Exploit, der eine ungepatchte kritische Java-Lücke ausnutzt.

Wer auf Nummer sicher gehen will, kann Java auch komplett deinstallieren oder zumindest das Browser-Plugin deaktivieren. Letzteres dürfte sich aufgrund der stetig abnehmenden Verbreitung von Java auf die meisten Webseiten nicht auswirken.

Update: Mac-Nutzer haben das besondere Problem, dass das letzte offiziell von Apple ausgegebene Java-Update aus dem vergangenen November stammt. Hier empfiehlt sich, Java über das Dienstprogramm "Java-Einstellungen" (Java Preferences) komplett zu deaktivieren (Haken abwählen), bis eine Aktualisierung verfügbar ist. (rei)

218 Kommentare

Themen:

Anzeige
  1. Adobe-Patchday: Kritische Lücken in Reader und Digital Editions

    Adobe-Patchday: Kritische Lücken in Reader und Digital Editions

    Ein monatliches Adobe-Update ohne Flash-Patches? Ja, das gibt es noch. Dafür dürfen diesmal auch eBook-Liebhaber patchen, falls sie Adobe Digital Editions verwenden.

  2. Mehr als zwei Jahre alter Java-Security-Patch von Oracle immer noch verwundbar

    Mehr als zwei Jahre alter Java-Security-Patch von Oracle immer noch verwundbar

    Geht es nach dem Sicherheitsexperten Adam Gowdiak hat Oracle vor mehr als zwei Jahren eine Sicherheitslücke falsch bewertet und zudem bei dem Patch gepfuscht, der den Fehler eigentlich hätte beseitigen sollen.

  3. Kritische Sicherheitslücke in der Webshop-Software Shopware

    Kritische Sicherheitslücke in der Webshop-Software Shopware

    Die vor allem in Deutschland beliebte Software aus Schöppingen hat eine Schwachstelle, über die Angreifer beliebigen Schadcode ausführen können.

  4. WordPress 4.7.2: Entwickler verschweigen kritische Sicherheitslücke

    WordPress 4.7.2: Entwickler verschweigen kritische Sicherheitslücke

    Mit dem jüngsten Update haben die Entwickler des beliebten CMS eine kritische Lücke gestopft und das Ausmaß des Problems absichtlich verharmlost, um Anwendern mehr Zeit zum Patchen zu geben. Leidtragende dieser Strategie sind Nutzer ohne Auto-Updates.

  5. Alle Meldungen aus Weitere News zum Thema
  1. HTML5: Wegbereiter des nativen Web

    HTML5-Logo

    Eine Schlüsseltechnologie im Web ist HTML5 – eine Auszeichnungssprache mit einem technologischen Umfeld, das den alten Java-Traum "Write once, run anywhere" erstmals Realität werden lässt.

  2. Glyphosat: Gefahr für Regenwürmer, Mensch und Umwelt?

    EU-Behörde verschiebt Entscheidung über Neuzulassung. - Kritik am Bundesinstitut für Risikobewertung

  3. Microsoft verkündet Pläne für Entity Framework Version 1.1

    Bis der Nachfolger der erst kürzlich erschienenen Version 1.0 verfügbar ist, dauert es zwar noch eine Weile, einen Blick auf zu erwartende Neuerungen gewährte Microsoft allerdings schon jetzt.

  4. Alle Meldungen aus Ähnliche Artikel
  1. Geleakte NSA-Hackersoftware: Offenbar hunderttausende Windows-Computer infiziert

    Geleakte NSA-Hackersoftware: Bereits Hunderttausende Geräte infiziert

    Weniger als zwei Wochen nachdem anonyme Hacker Software der NSA veröffentlicht haben, sollen fast 200.000 Geräte infiziert sein. Betroffen sind Windows-Computer, die einen bereits veröffentlichten Patch nicht erhalten haben.

  2. Uber: iPhone-Fingerprinting flog auf – Rüffel vom Apple-Chef

    Delete Uber

    Die App des Fahrdienstes hat auf eine Fingerprinting-Technik gesetzt, um einzelne iPhones trotz Löschens der App weiter identifizieren zu können. Ein Geofence sollte sicherstellen, dass Apple-Mitarbeiter das regelwidrige Verhalten nicht entdecken.

  3. Personalausweis: Experten kritisieren geplanten automatisierten Lichtbildabruf scharf

    Personalausweis: Experten kritisieren geplanten automatisierten Lichtbildabruf scharf

    Faktisch werde mit einer Gesetzesreform eine nationale Biometriedatenbank entstehen, warnten Sachverständige in einer Anhörung. Umstritten war auch das Vorhaben, die Onlinefunktionen (eID) des Personalausweises zu fördern.

  4. Hannover Messe: Schindler verbindet Aufzüge mit dem Internet of Things

    Hannover Messe: Schindler verbindet Aufzüge mit dem Internet of Things

    Der Fahrstuhl- und Rolltreppenhersteller vernetzt seine Produkte, um sie smart zu machen – mit Machine Intelligence aus der Cloud, Big-Data-Analysen und Apps für die Anwender.

  5. Alle Meldungen aus Themen im Trend
Anzeige