Schlechter Kaffee

Java-Sicherheitslücke bedroht alle Browser und Betriebssysteme

Java-Sicherheitslücke bedroht alle Browser und Betriebssysteme

Oliver Frommel
30.08.2012 Angreifer können eine Sicherheitslücke in Java 7 Update 6 ausnutzen, um über verschiedene Browser eigenen Code auszuführen.

Atif Mushtaq von der Security-Firma Fireeye hat auf eine Sicherheitslücke in Java aufmerksam gemacht, für die im Internet bereits funktionierende Exploits kursieren. Betroffen sind möglicherweise verschiedene Versionen des Java Runtime Environment 1.7. Getestet hat Mushtaq den Exploit mit JRE 1.7 Update 6. Übers Internet lässt sich die Schwachstelle ausnutzen, wenn Webbrowser über das Java-Plugin das JRE verwenden.

Der Security-Scanner Metasploit hat bereits passenden Exploit-Code integriert. Im Test zeigten sich die folgenden System als verwundbar: Mozilla Firefox auf Ubuntu Linux 10.04, Internet Explorer / Mozilla Firefox / Chrome auf Windows XP, Internet Explorer / Mozilla Firefox mit Windows Vista, Internet Explorer / Mozilla Firefox unter Windows 7 und Safari mit Mac OS X 10.7.4. Dass weitere Systeme davon betroffen sind, gilt als sicher.

Der im Internet gefundene Exploit, der auf einem Rechner in Taiwan gehostet ist, installiert einen Trojaner auf dem angegriffenen Rechner, der wiederum einen Server in Singapur kontaktiert und somit vermutlich Teil eines Botnetzes wird. Beispielcode, der unter Windows das Binary "calc.exe" ausführt ist auf der Website Pastie zu finden.

Einen Bugfix für die Schwachstelle gibt es bisher nicht, also sollte man Java im Browser am besten komplett abschalten. In der Common Vulnerabilities und Exposures Database firmiert die Sicherheitslücke unter dem Code CVE-2012-4681.

(Diese Meldung stammt vom Magazin Admin)

Update: In Bugzilla ist der Bug hier zu finden, detaillierte Informationen zum Problem finden sich auch in diesem Thread auf der Open-JDK-Mailingliste.

Ähnliche Artikel

Kommentare

1253 Hits
Wertung: 154 Punkte (9 Stimmen)

Schlecht Gut

Aktuelle Fragen

Server antwortet mit falschem Namen
oin notna, 21.07.2014 19:13, 0 Antworten
Hallo liebe Community, Ich habe mit Apache einen Server aufgesetzt. Soweit, so gut. Im Heimnet...
o2 surfstick software für ubuntu?
daniel soltek, 15.07.2014 18:27, 1 Antworten
hallo zusammen, habe mir einen o2 surfstick huawei bestellt und gerade festgestellt, das der nic...
Öhm - wozu Benutzername, wenn man dann hier mit Klarnamen angezeigt wird?
Thomas Kallay, 03.07.2014 20:30, 1 Antworten
Hallo Team von Linux-Community, kleine Zwischenfrage: warum muß man beim Registrieren einen Us...
openSUSE 13.1 - Login-Problem wg. Fehler im Intel-Grafiktreiber?
Thomas Kallay, 03.07.2014 20:26, 8 Antworten
Hallo Linux-Community, habe hier ein sogenanntes Hybrid-Notebook laufen, mit einer Intel-HD460...
Fernwartung für Linux?
Alfred Böllmann, 20.06.2014 15:30, 7 Antworten
Hi liebe Linux-Freunde, bin beim klassischen Probleme googeln auf www.expertiger.de gestoßen, ei...