Java-Sicherheitslücke in Windows

14.04.2010

 Eine Sicherheitslücke in Java 6 macht Windows-Rechner für Drive-By-Attacken verwundbar.

 Der Security-Experte Tavis Ormandy hat eine Sicherheitslücke in Suns Java-Distribution für Windows aufgedeckt. Der Fehler steckt in der Komponente namens Java Deployment Kit (ein NPAPI-Plugin und ein ActiveX-Control), die Java-Webanwendungen (JNLP) ausführt und seit Java 6 Update 10 ausgeliefert wird. Die darin enthaltene Funktion "launch()" prüft übergebene URLs nur rudimentär und erlaubt somit Angreifern, manipulierte Werte an das "javaws"-Utility weiterzuleiten. Letztlich können Angreifer damit Programme auf den betroffenen Rechnern ausführen, wenn Anwender entsprechend manipulierte Websites besuchen. Der einzuschleusende Code muss allerdings auf einem über einen UNC-Pfad erreichbaren Server liegen

Das Java-Plugin im Browser abzuschalten, genügt nicht als Gegenmittel, denn die betroffene Komponente ist unabhängig davon. Eine ungefährliche Demonstration des Angriffs findet sich unter der URL  http://lock.cmpxchg8b.com/bb5eafbc6c6e67e11c4afc88b4e1dd22/testcase.html . Der dortige "Exploit" versucht über ein Jar-File die Taschenrechner-Anwendung unter Windows zu starten.

Die E-Mail des Sicherheitsexperten Tavis Ormandy an die Security-Mailingliste "Full Disclosure" enthält Hinweise darüber, wie die Lücke zu entschärfen ist.

Ähnliche Artikel

comments powered by Disqus
Mehr zum Thema

Java-Sicherheitslücke bedroht alle Browser und Betriebssysteme

Angreifer können eine Sicherheitslücke in Java 7 Update 6 ausnutzen, um über verschiedene Browser eigenen Code auszuführen.

Einmal pro Woche aktuelle News, kostenlose Artikel und nützliche ADMIN-Tipps.
Ich habe die Datenschutzerklärung gelesen und bin einverstanden.

Konfigurationsmanagement

Ich konfiguriere meine Server

  • von Hand
  • mit eigenen Skripts
  • mit Puppet
  • mit Ansible
  • mit Saltstack
  • mit Chef
  • mit CFengine
  • mit dem Nix-System
  • mit Containern
  • mit anderer Konfigurationsmanagement-Software

Ausgabe /2023