[xanadu]

Exploit wird bereits aktiv ausgenutzt ......

Der renommierte Sicherheitsexperte Brian Krebs berichtet in seinem Blog Krebsonsecurity über einen Exploit für eine gefährliche Lücke in allen Oracle Java Ausgaben der Version 7 bis hin zu Update 10.
Die Lücke wird bereits aktiv von Cyber-Kriminellen ausgenutzt.

Der Exploit für die Zero-Day-Lücke, die von den Sicherheitsexperten von AlienVault Labs mittlerweile durch den Nachweis der Code-Einschleusung in ein voll gepatchtes Windows-System mit Java 7 Update 10 bestätigt wurde, ist bereits in den beiden bekanntesten Cracker-Tools Blackhole und Nuclear Pack eingebaut worden.

Die Verbreitung über die Cracker-Tools wird vermutlich dafür sorgen, dass sich der Exploit explosionsartig verbreitet und zudem sehr einfach auf Webseiten integrierbar ist.
Deshalb rät Krebs, das Java-Applet im jeweils genutzten Browser zu deaktivieren.
Wie das in die einzelnen Browser erreicht werden kann, hat Krebs ebenfalls in seinem Blog dargelegt.
Ergänzend dazu ist zu sagen, dass in Java 7 Update 10 ein vereinfachter Mechanismus zum Deaktivieren von Java vorhanden ist.

Es ist bisher kein Patch für die Lücke vorhanden.
Oracle, das im Jahr 2012 schon einige gefährliche Lücken in Java reparieren musste, ist dafür bekannt, selten Patches außerhalb des üblichen Zyklus' herauszugeben.
Der nächste Oracle Patchday ist der 15. Januar, der darauf folgende der 16. April 2013.
In der Vorankündigung auf den Patchday in der nächsten Woche ist noch kein Patch für Java zu finden.
Noch bleibt jedoch zu hoffen, dass bis zum 15. Januar ein entsprechender Patch vorliegt und im Zuge des Patchdays veröffentlicht wird.

Update: 12.01.2013 16:17 Uhr

Oracle hat jetzt den Umfang des für Dienstag avisierten Patch-Pakets mit 86 Patches angegeben.
Die Java-Lücke bleibt weiterhin offen.

Sowohl Mozilla als auch Apple haben darauf jetzt reagiert.
In Firefox ist ab Version 17 für alle Plattformen das Java-Plug-in abgeschaltet.
Somit werden Nutzer beim Betreten einer Seite gefragt, ob sie mit der Ausführung des Plug-ins für diese Seite einverstanden sind.

Auch Apple hat das Java-Plug-in für den Mac deaktiviert.


**External links are only visible to Support Staff**Quelle

[.bismarck]

Seitdem SUN ihr Baby an Oracle übergeben hat gehts bergab mit Java in Sachen Sicherheit. Bei Oracle scheint Quantität vor Qualität zu stehen. R.I.P @ Oracle.


.bismarck

[xanadu]

die sind sowas von dämlich .
haben die Lücke gefixt, und gleich wieder eine neue geöffnet, welche bereits für ca. 5000$ im Netz angeboten wird .

[pspzockerscene]

Evtl. lernen sie irgendwann draus.
Schade um die Programmiersprache...

GreeZ psp

haha die sind aber lustig die typen wa?