Aktuelle Java-Version deaktivieren- neue gefährliche Sicherheitslücke.

Security: Neuer Java-Exploit entdeckt, Abschaltung empfohlen

Ein Sicherheitsforscher hat Anwendern wegen einer neu entdeckten Sicherheitslücke dringend empfohlen, ihre Java-Plugins zu deaktivieren.
Zoom

http://www.tomshardware.de/java-security-…ews-248640.html

@kafeine hat als erster über den Exploit berichtet, der danach erfolgreich von Jaime Blascoe vom Sicherheitssoftwareunternehmen AlienVault reproduziert werden konnte. Blasco schrieb, dass er das schädigende, laut @kafeine über eine Webseite mit "hunderttausenden Abrufen täglich" verbreitete Java-Applet dazu bringen konnte, die calc.exe-Datei im AlienVault-Labor auszuführen.
Derzeit gibt es noch nicht viele weitere Informationen über die Sicherheitslücke und den Exploit. Aber Blasco schrieb, dass der Exploit wahrscheinlich diverse Sicherheitschecks umgeht, indem er die Genehmigungen verschiedener Java-Klassen vortäuscht - in etwa so, wie man es bereits bei CVE-2012-4681 gesehen hat.
Laut Blasco ist der einzige Schutz gegen diese Sicherheitslücke die Abschaltung des Java-Browser-Plugins.

Quelle: [url=http://www.tomshardware.de/java-security-…ews-248640.html]Security: Neuer Java-Exploit entdeckt, Abschaltung empfohlen[/url]

gibbet schon

https://www.zebradem.com/67735-aktuelle…cherheitsluecke

Zusammengeführt.

12.01.2013 12:55

Mozilla und Apple schalten das Java-Plug-in ab

Wegen einer gefährlichen Schwachstelle in Java deaktiviert Mozilla das Java-Plug-in im Firefox-Browser automatisch ab Version 17 auf allen Plattformen. Beim Besuch einer Website mit Java-Plug-in wird der Surfer nun auch bei den neueren Java-Versionen gefragt, ob das Plug-in für diese Sitzung oder generell wieder aktiviert werden soll. Apple scheint laut einer Meldung bei macrumors reagiert zu haben und deaktiviert alle bisherigen Java-Plug-ins, indem es über die Plug-in-Blacklist eine noch nicht veröffentlichte Version von Java 7 verlangt.

heise.de

Kritische Schwachstelle in aktueller Java-Laufzeitumgebung

BSI empfiehlt Internetnutzern Deaktivierung von Java

Bonn, 11.01.2013.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist auf eine kritische Schwachstelle in der aktuellen Java-Laufzeitumgebung, Version 7 Update 10 hin. Die Schwachstelle ist bereits in weitverbreiteten Exploit-Kits vorhanden und kann somit massiv und relativ einfach ausgenutzt werden. Aufgrund der Schwachstelle kann auf betroffenen Systemen beim Besuch einer manipulierten Webseite fremder Code ausgeführt und so beispielsweise der Rechner des Nutzers von Cyber-Kriminellen ausspioniert oder übernommen werden.

Das BSI steht bezüglich der aktuellen Schwachstelle in Kontakt mit der Firma Oracle, dem Hersteller der Java-Laufzeitumgebung. Ein Sicherheitsupdate des Herstellers liegt derzeit nicht vor. Daher rät das BSI allen Internetnutzern zu prüfen, ob Java für die Arbeit am Rechner tatsächlich benötigt wird. Ist dies nicht der Fall, sollte Java über die Systemsteuerung deinstalliert werden, bis ein Sicherheitsupdate vorliegt. Wird Java außerhalb des Browsers dringend benötigt, sollten zumindest die Java Browser-Plugins für das Surfen im Internet deaktiviert und nur zeitweise für die Durchführung einzelner Anwendungen aktiviert werden.

Seit Veröffentlichung von Java 7 Update 10 können die Java-Web-Plugins über die Java-Steuerung deaktiviert werden. Für einzelne Browser findet sich unter Windows in der Systemsteuerung unter "Java" auf dem Reiter "Sicherheit" die Option "Java Content im Browser aktivieren", bei der das entsprechende Häkchen nicht gesetzt sein sollte. Darüber hinaus hat das BSI Hinweise zur Deaktivierung der Plugins in den gängigen Browsertypen auf seiner Webseite veröffentlicht.

Nicht betroffen ist nach derzeitigem Erkenntnisstand des BSI die Java-Laufzeitumgebung Version 6. Sobald ein Sicherheitsupdate des Herstellers für die Version 7 vorliegt, wird das BSI darüber informieren.

https://www.bsi.bund.de/ContentBSI/Pre…0_11012013.html

Oracle schließt kritische Java-Sicherheitslücke

Von Dany Dewitz
Innerhalb kürzester Zeit hat die Software-Firma Oracle reagiert und die Sicherheitslücke in der aktuellen Java-Version 7 behoben.

Das Sicherheitsupdate für das Java-Plug-in ist ab sofort verfügbar.

Update (14. Januar 2013): Update verfügbar

Die schwere Sicherheitslücke im Java-Plug-in ist geschlossen. Nur wenige Tage nach Bekanntwerden der Schwachstelle hat die Entwickler-Firma Oracle ein Sicherheitsupdate zur Verfügung gestellt. Es ist dringend empfohlen, die Aktualisierung zu installieren, da die Lücke es ermöglicht, Malware unbemerkt in PCs einzuschleusen. Passende Angriffscodes, die den Bug ausnutzen, kursieren bereits im Internet. Vor allem die aktuelle Java-Version 7 ist von dem Leck betroffen.

Quelle: ComputerBild

Mit neuen Warnhinweisen

edit

Zitat

Oracle hat die seit rund einer Woche aktiv ausgenutzte Zero-Day-Lücke in Java 7 mit dem Update 11 geschlossen.

Die gefährliche Sicherheitslücke, die alle Oracle Java 7-Versionen inklusive Update 10 betroffen hat, war nach ihrem Bekanntwerden sehr schnell aktiv ausgenutzt worden. Wie der Sicherheits-Blogger Brian Krebs in seinem Blog KrebsonSecurity berichtete, war bereits letzte Woche ein Exploit für die Schwachstelle in die beiden in der Szene weit verbreiteten Cracker-Kits Blackhole und Nuclear Pack eingefügt worden. Somit stand zu befürchten, dass sich der Exploit explosionsartig verbreiten würde, zumal er damit sehr einfach in Webseiten eingeschleust werden kann.

Da von Oracle vorerst keine Reaktion vernehmbar war und der vorab veröffentlichte Umfang des Patch-Pakets für den morgigen Oracle-Patchday keinen Patch für die Schwachstelle beinhaltete, Oracle darüber hinaus aber bekannt dafür ist, Lücken selten außerhalb des 3-monatigen Patch-Zyklus zu schließen, gab es bereits am vergangenen Donnerstag erste Reaktionen seitens Betroffener.

Sowohl Mozilla als auch Apple deaktivierten in ihren Browsern das Java-Plugin. Mozilla nutzt dazu ab Firefox 17 »Click-to-Play«, sodass der Nutzer das Plugin separat aktivieren muss. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert über die Schwachstelle und empfiehlt Internetnutzern ebenfalls die Deaktivierung von Java.

Oracle hat aufgrund der Schwere der Lücke am Wochenende Java auf Java 7 Update 11 angehoben, mit dem die Lücke geschlossen wird. Außerdem wird mit dem Update das Sicherheitslevel von unsignierten Java-Web-Apps von »mittel« auf »hoch« heraufgesetzt. Somit muss auch hier zukünftig der Nutzer der Ausführung explizit zustimmen. Wie am Wochenende der Sicherheitsforscher Adam Gowdiak von der polnischen Firma Security Exploration berichtete, wurde die jetzige Lücke durch eine im Oktober nur teilweise von Oracle geschlossene Schwachstelle erst ermöglicht. Security Explorations hatte die ursprüngliche Lücke im August 2012 an Oracle gemeldet.

Das Anheben der Version auf Oracle Java 7 Update 11 ist dringend empfohlen. Darüber hinaus ist der Tipp des BSI, das Java-Plug-in in den benutzten Browsern zu deaktivieren und nur im Falle, dass es gebraucht wird, selektiv zuzulassen, generell empfehlenswert. Die freie Java-Implementation OpenJDK war nicht von der Schwachstelle betroffen.

Alles anzeigen

http://www.pro-linux.de

Neuer Java-Exploit offenbar im Umlauf

Gerade aktualisiert und offenbar schon wieder anfällig: Java soll auch in der aktualisierten Version 7 Update 11 mit einem neuen Exploit angreifbar sein. Er soll unter Kriminellen für 5.000 US-Dollar gehandelt werden und drei Käufer gefunden haben, wie Sicherheitsexperte Brian Krebs berichtet.
Das erst am Wochenende von Oracle veröffentlichte Java 7 Update 11 ist offenbar schon wieder unsicher. Im Internet ist ein neuer Exploit angeboten worden, den Interessenten für 5.000 US-Dollar erwerben konnten. Der Händler möchte allerdings anscheinend verhindern, dass die Sicherheitslücke allzu schnell geschlossen wird, und bietet den Exploit nicht mehr an. Das lässt darauf schließen, dass er einen dritten Käufer gefunden hat, da er ursprünglich den Exploit nur an insgesamt drei Interessenten verkaufen wollte.

Wie weit sich der Exploit verbreiten wird, lässt sich derzeit nicht abschätzen. Falls die Besitzer des Exploits nur gezielte Angriffe ausführen, wird es für Oracle und Antivirenfirmen schwierig herauszufinden, was Java anfällig macht. Bei einem Überraschungsangriff auf weite Teile der Internetbevölkerung und einem Weiterverkauf des Exploits wäre die Sicherheitslücke schnell schließbar - allerdings erst, nachdem der Schaden angerichtet wurde.
Die letzte Sicherheitslücke konnte Oracle vergleichsweise schnell schließen, nachdem diverse staatliche Institutionen, darunter auch das Bundesamt für Sicherheit in der Informationstechnik, zur Deinstallation von Java aufgerufen hatten.
Ganz ohne Java geht es in der Onlinewelt nicht überall. Während sich die Deutsche Post von Java wieder verabschiedet hat - die Firma hatte ursprünglich wegen Kundenbeschwerden von PDF-Frankierung auf Java umgestellt, wie uns mitgeteilt wurde -, setzt der Ticketdienstleister Eventim beispielsweise bei Platzreservierungen auf Java. Auch der Zoll und das Bayerische Landesamt für Steuern nutzen Java. Beim Zoll ist es Atlas Ausfuhr, bei den Steuern Elsteronline. Für Letzteres gibt es immerhin eine Alternative: Elsterformular für Windows.
Wer Java nicht unbedingt für das Internet braucht, sollte erwägen, es entweder zu deinstallieren oder zumindest im Browser abzuschalten. Java 6 ist übrigens keine Alternative. Diese Familie der Laufzeitumgebung ist ab Februar 2013 im Status End of Life. Nur die kommerzielle Unterstützung wird länger aufrechterhalten.

Quelle:golem.de

Deinstalliert doch einfach Java, das braucht man eigentlich für nix.
Ich hab's nicht installiert genauso wie Flash und alles ist gut.

Habs auch verbannt
So wie s aussieht wollen oder können die Ihr Leck nicht abdichten

Zitat

Auch Java-Exploit für Cyberspionage-Kampagne Roter Oktober benutzt

Die israelische Sicherheitsfirma Seculert hat Hinweise darauf entdeckt, dass die Hintermänner der Cyberspionage-Kampagne Roter Oktober auch einen Java-Exploit eingesetzt haben. Wie Computerworld berichtet, fanden sie in einem Ordner auf einem Kommandoserver ein gefährliches Java-Applet, das eine im Oktober 2011 gepatchte Schwachstelle ausnutzt.

Der Exploit wurde demnach im Februar 2012 kompiliert. Dadurch werde die Annahme gestützt, dass die Angreifer älteren, bekannten Anfälligkeiten gegenüber bisher unbekannten Zero-Day-Lücken den Vorzug geben, schreibt Seculert in einem Blogeintrag.

Ermöglicht wurde das Auffinden des Applets durch den Wechsel der serverseitigen Skriptsprache von PHP zu CGI, so Seculert weiter. Einige der alten PHP-basierten Websites, die für die Angriffe verwendet wurden, hätten sich immer noch auf dem Server befunden. Laut Aviv Raff, Chief Technology Officer von Seculert, wurde der Java-Exploit auch nach dem Wechsel zu CGI weiter benutzt. Ob in den vergangenen Monaten allerdings auch jüngere Java-Lücken oder andere Browser-Plug-ins missbraucht wurden, sei bisher nicht klar.

Inzwischen ist der Kommandoserver nicht mehr erreichbar. Laut Costin Raiu, leitender Sicherheitsforscher bei Kaspersky Lab, begannen die Angreifer in der Nacht von Montag auf Dienstag damit, ihre Infrastruktur abzubauen. “Zur gleichen Zeit haben Internet Service Provider einige der Kommandoserver abgeschaltet, während Registrare die Domain-Namen getilgt haben”, sagte Raiu im Gespräch mit TechWeekEurope. Es gebe zwar noch wenige aktive Server, die Infrastruktur an sich sei aber massiv gestört und überwiegend nicht mehr funktionsfähig.

Raff weist auch auf eine mögliche Parallele zur Spionagesoftware Flame hin. Der gefundene Java-Exploit und auch die für die Verteilung des Schadcodes verwendeten Websites enthielten die Zeichenfolge “News”. Der Browser eines Opfers sei zudem nach einem Angriff auf legitime Nachrichten-Sites umgeleitet worden, darunter eine in der Türkei ansässige Seite. Auf für Flame verwendete Kommandoserver sei die Zeichenfolge “NewsForYou” gefunden worden. Dabei könne es sich aber auch um einen Zufall handeln.

Kaspersky machte die Cyberspionage-Kampagne Roter Oktober vorgestern öffentlich. Angreifern ist es Kaspersky zufolge gelungen, über mehrere Jahre hinweg Daten von zahlreichen Geräten zu stehlen, darunter PCs und iPhones, aber auch Smartphones anderer Hersteller, Wechselfestplatten und Netzwerkausrüstung. Ziel waren vor allem Regierungssysteme beispielsweise in Botschaften.

Dem Bericht von Kaspersky zufolge verteilten die Angreifer ihre Malware durch sogenanntes Speer-Phishing – also in Form von gezielt versandten E-Mails, die Anwender zum Download einer Malware bringen sollten. Die Nachrichten enthielten manipulierte Dokumente, die bekannte Schwachstellen in Microsoft Word und Excel ausnutzten. Andere Methoden zur Verteilung der Schadprogramme seien möglicherweise nicht benutzt oder bisher noch nicht identifiziert worden, hatte Raiu am Montag erklärt.

Raff vermutet Computerworld zufolge, dass Roter Oktober das Werk von Hackern ist, die es in erster Linie auf wertvolle Informationen abgesehen haben, die sich an interessierte Parteien weiterverkaufen lassen. Eine Regierung stecke wahrscheinlich nicht dahinter. Dieselbe Theorie verfolgen auch die Forscher von Kaspersky Lab, die die Cyberspionage-Kampagne als erstes entdeckt hatten.

Alles anzeigen

ZDNet.de | Alle Seiten der IT