Zero-Day-Lücke in Java entdeckt

Kriminelle nutzen die Schwachstelle bereits aus. Betroffen ist die jüngste Version von Java 7. Oracles nächster Java-Patchday findet am 15. Januar statt.

Sicherheitsforscher haben eine Lücke in Oracles Java gefunden, die Hacker bereits aktiv ausnutzen. Zuerst hatte der Blog „Malware Don’t Need Coffee“ den Fehler gemeldet. Inzwischen wurde die Existenz der Schwachstelle auch von AlienVault Labs bestätigt. Eine Stellungnahme von Oracle steht noch aus.

Java Logo

„Das könnte zu Chaos führen“, schreibt der Autor des Blogs, der sich selbst „Kafeine“ nennt. Beispiele für Schadcode, mit dem sich die Lücke ausnutzen lasse, seien inzwischen in mehreren bekannten Exploit-Kits enthalten, darunter auch „Blackhole“. Kafeine selbst beschreibt die Anfälligkeit detailliert in seinem Blog.

Jaime Blasco, Sicherheitsforscher bei AlienVault Labs, konnte den Fehler nach eigenen Angaben in einer vollständig gepatchten Java-Installation nachvollziehen. „Die Java-Datei ist sehr gut verschleiert.“ Eine kurze Analyse des Exploits habe gezeigt, dass er Sicherheitsprüfungen umgehe, indem er Genehmigungen bestimmter Java-Klassen vortäusche, schreibt Blasco in einem Blogeintrag.

Der Exploit sei identisch mit dem Schadcode, der im vergangenen Jahr für Angriffe auf Zero-Day-Lücken in Internet Explorer, Java und Flash verwendet worden sei. Ein Hacker könne, wenn ein Opfer einem manipulierten Link folge, praktisch die vollständige Kontrolle über dessen Computer übernehmen. „Wir erwarten, dass in den kommenden Tagen auch ein Metasploit-Modul erscheinen wird. Die meisten Exploits Kits werden die neue Lücke eher früher als später aufnehmen.“

Kafeine und Blasco empfehlen allen betroffen Nutzern, das Java-Plug-in zu deaktivieren. „Das ist derzeit der einzige Schutz gegen diesen Exploit“, schreibt Blasco.

Oracle wollte sich auf Nachfrage durch TechWeekEurope nicht zu der Zero-Day-Lücke äußern. Der nächste reguläre Patchday des Unternehmens findet am 15. Januar statt. Es ist allerdings nicht davon auszugehen, dass Oracle bis dahin einen Fix entwickeln und so gründlich testen kann, dass er für den produktiven Einsatz geeignet ist. Bis zum übernächsten Patchday am 16. April wird Oracle aber wohl auch nicht warten können.

Java-LückeDer Fehler in der aktuellen Java-Version lässt sich missbrauchen, um beliebige Anwendungen wie beispielsweise den Taschenrechner zu starten (ScreenShot: AlienVault Labs).

[mit Material von Tom Brewster, TechWeekEurope]

Themenseiten: Java, Oracle

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Stefan Beiersmann
Autor: Stefan Beiersmann
Freier Mitarbeiter
Stefan Beiersmann
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Zero-Day-Lücke in Java entdeckt

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *