Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.531.613 Produkten

Ronald Eikenberg 218

Alert Kritische Java-Lücke wird im großen Stil ausgenutzt Update

Kriminelle nutzen derzeit zunehmend eine kritische Lücke in der Java-Laufzeitumgebung aus, um Rechner beim Besuch speziell präparierter Webseiten mit Schadcode zu infizieren. Laut dem renommierten Security-Blogger Brian Krebs ist das darauf zurückzuführen, dass das Arsenal des weit verbreiteten Exploit-Kits BlackHole um einen passenden Exploit ausgebaut wurde.

Durch die Lücke, die Oracle Mitte Februar gepatcht hat, kann Schadcode aus der Java-Sandbox ausbrechen und sich dauerhaft auf dem System verankern. Welche Art von Schadcode dabei injiziert wird, ist variabel. Unter anderem soll die Lücke zur Verbreitung des ZeuS-Trojaners genutzt werden.

Laut einer Analyse von Microsoft ist der Dropper in zwei Java-Klassen aufgeteilt. Die erste Klasse nutzt die Schwachstelle bei der Verarbeitung von Arrays aus, um an höhere Rechte zu gelangen und führt anschließend die Loader-Klasse aus, sich um das Herunterladen und das Installieren der Payload kümmert.


Mit der aktuellen Java-Version ist man vor dem Exploit geschützt. Vergrößern
Schützen kann man sich, indem man eine der derzeit aktuellen Java-Versionen 6 Update 31 oder 7 Update 3 installiert. Ob und welche Version des Browser-Plugins installiert ist, erfährt man auf dieser Testseite.

Allzu sicher sollte man sich jedoch selbst mit der aktuellsten Java-Version nicht fühlen: Brian Krebs berichtet von Gerüchten in Untergrundforen über einen neuen Exploit, der eine ungepatchte kritische Java-Lücke ausnutzt.

Wer auf Nummer sicher gehen will, kann Java auch komplett deinstallieren oder zumindest das Browser-Plugin deaktivieren. Letzteres dürfte sich aufgrund der stetig abnehmenden Verbreitung von Java auf die meisten Webseiten nicht auswirken.

Update: Mac-Nutzer haben das besondere Problem, dass das letzte offiziell von Apple ausgegebene Java-Update aus dem vergangenen November stammt. Hier empfiehlt sich, Java über das Dienstprogramm "Java-Einstellungen" (Java Preferences) komplett zu deaktivieren (Haken abwählen), bis eine Aktualisierung verfügbar ist. (rei)

218 Kommentare

Themen:

Anzeige
  1. Sicherheitslücke: Java während Installation verwundbar

    Sicherheitslücke: Java während Installation verwundbar

    Oracle hat eine Schwachstelle in Java geschlossen. Mit vergleichsweise viel Aufwand können Angreifer die Lücke alleinig im Verlauf der Installation von Java ausnutzen, um Computer zu übernehmen.

  2. Mehr als zwei Jahre alter Java-Security-Patch von Oracle immer noch verwundbar

    Mehr als zwei Jahre alter Java-Security-Patch von Oracle immer noch verwundbar

    Geht es nach dem Sicherheitsexperten Adam Gowdiak hat Oracle vor mehr als zwei Jahren eine Sicherheitslücke falsch bewertet und zudem bei dem Patch gepfuscht, der den Fehler eigentlich hätte beseitigen sollen.

  3. Adobe-Patchday: Kritische Lücken in Reader und Digital Editions

    Adobe-Patchday: Kritische Lücken in Reader und Digital Editions

    Ein monatliches Adobe-Update ohne Flash-Patches? Ja, das gibt es noch. Dafür dürfen diesmal auch eBook-Liebhaber patchen, falls sie Adobe Digital Editions verwenden.

  4. Exploits veröffentlicht: Jetzt kritische MySQL-Lücke patchen

    Exploits veröffentlicht: Jetzt kritische MySQL-Lücke patchen

    Admins sollten ihre Datenbanksoftware MariaDB, MySQL und Percona zügig aktualisieren, um Server abzusichern.

  1. HTML5: Wegbereiter des nativen Web

    HTML5-Logo

    Eine Schlüsseltechnologie im Web ist HTML5 – eine Auszeichnungssprache mit einem technologischen Umfeld, das den alten Java-Traum "Write once, run anywhere" erstmals Realität werden lässt.

  2. Federlesen #20: Stabile APIs für eine nachhaltige Entwicklung

    Um einen Parallelbetrieb von neuer und alter API zu erreichen und Konflikte möglichst zu vermeiden, sollte man sich einheitliche Versionierungsverfahren für API-Änderungen überlegen.

  3. Kernel-Log – Was 3.19 bringt (4): Treiber

    Ab Linux 3.19 können neuere Intel-Prozessoren ihre Taktfrequenz selbst regeln. Einige Erweiterungen schaffen Grundlagen zur besseren Unterstützung von 4k-Monitoren und Mehrschirmkonfigurationen. Der Nouveau-Treiber bietet nun Basis-Support für Nvidias neueste Chips.

  1. Neue Drohnenverordnung: Modellflieger laufen Sturm

    Neue Drohnenverordnung: Modellflieger laufen Sturm

    Modellflieger sehen ihr Hobby durch die neuen Regeln zu unbemannten Fluggeräten in Gefahr. Stein des Anstoßes ist die Begrenzung der Flughöhe auf 100 Meter. Eine Kompromiss-Regelung soll sogar kurzfristig gekippt worden sein.

  2. Vodafone Kabel: Fritzboxen verlieren durch Wartungsfehler individuelle Einstellungen

    Vodafone Kabel: Fritzboxen verlieren durch Wartungsfehler Telefonie-Einstellungen

    Vodafone erklärt auf Nachfrage, dass es sich bei der nächtlichen Wartung um einen teilweise missglückten Routine-Eingriff gehandelt habe.

  3. Kennzeichen und Kenntnisnachweis: Neue Pflichten für Drohnenpiloten kommen

    GoPro-Drohne

    Mehr Sicherheit und Privatsphäre bringen die neuen Regeln für Drohnen laut Verkehrsminister Dobrindt. Unter anderem sind Kennzeichen an den Drohnen verpflichtend, ab einem bestimmten Gerätegewicht auch Kenntnisnachweise.

  4. Navigationssystem Galileo: Mehrere Atomuhren auf Satelliten ausgefallen

    Satellitennavigationssystem  Galileo: Mehrere Uhren ausgefallen

    Das europäische Satellitennavigationssystem Galileo hat weiterhin Probleme: Wie der ESA-Chef am Mittwoch mitteilte, sind insgesamt zehn der hochpräzisen Atomuhren ausgefallen, aber noch haben alle Satelliten Backups.

Anzeige