News 12.04.2010, 10:58 Uhr

Java-Lücke betrifft Windows-Anwender

G Data stuft die aktuelle Sicherheitslücke gemäss eigenen Angaben als äusserst kritisch ein und gibt Hilfestellungen zum Schutz. Der Sicherheitsexperte rechnet mit einem Grossangriff auf Windows-Anwender.
Über die neu entdeckte Schwachstelle in Suns Java Runtime Environment haben Kriminelle eine Möglichkeit, um Drive-by-Downloads auszuführen und PCs zu übernehmen. Eine besondere Schwere erlangt die Schwachstelle dadurch, dass sie gemäss G Data in den meisten populären Browsern wie Internet Explorer, Firefox und Google Chrome ausgenutzt werden kann, unabhängig von den in Windows Vista und Windows 7 erhöhten Sicherheitsmassnahmen (DEP/ Datenausführungsverhinderung und ASLR/Speicheradressen verschleiern).
Eine Abschaltung von Java-Script schützt nicht vor Ausnutzung der Schwachstelle. Da aktuell noch kein Datum für eine Beseitigung der Schwachstelle vorliegt, müssen sich die Anwender durch manuelle Einstellungen schützen. Sun stuft das Risiko als nicht so hoch ein. Demzufolge wird es keinen Not-Patch geben.
So schützen Sie sich:
• Für Microsofts Internet Explorer ist die Anleitung auf dieser Seite zu finden.
• Im Mozilla Firefox funktioniert die Abschaltung durch einen Klick in
der Menüleiste auf «Extras» , dann «Add-Ons». Auf dem Reiter «Plugins» findet sich dann das Java Deployment Toolkit, das durch einen Klick auf «Deaktivieren» abgeschaltet werden kann.
Details zur Schwachstelle
Die Schwachstelle entsteht im Browser-Plug-In Java Deployment Toolkit, welches seit Version 6 Update 10 automatisch mit einer Stan-dardinstallation der Java-Runtime-Environment-Installation auf den Rechner installiert wird. Das Browser Plug-In befindet sich in einer Vielzahl populärer Browser. Die im Tool vorhandene Programmfunktion launch (starten) eröffnet Angreifern die Möglichkeit, den Java-Web-Start-Launcher mit beliebigen Parametern zu steuern.



Kommentare
Avatar
crimle
12.04.2010
Grundsätzlich stimme ich zu! Jeder Software-Hersteller hält sein Programm für sooo wichtig, dass er davon ausgeht, dass alle Benutzer es bestimmt automatisch gestartet haben möchten. Dazu wird dann auch gleich noch ein Desktop-Icon erstellt... Welch eine Unsitte! Bei Java glaube ich aber, dass die automatische Suche nach Java-Updates im Autostart ist. In diesem Fall wäre ein Autostart doch gerechtfertigt. Oder irre ich mich da?

Avatar
Michel.Eichelberger
12.04.2010
Bei Java glaube ich aber, dass die automatische Suche nach Java-Updates im Autostart ist. In diesem Fall wäre ein Autostart doch gerechtfertigt. Oder irre ich mich da? Selbst dann würde es reichen, wenn Java die Suche nur dann startet, wenn Java aktiviert wird, wie es bei vielen anderen Anwendungen ja auch der Fall ist.

Avatar
Juerg Schwarz
12.04.2010
Scheiss Java! Hab Tausende Mal schon dieser "Java starter" entfernt, und immer wieder installiert Java dieser starter ins Autostart! Ich hasse diese blöde Produkte von Apple/Adobe und Sun, die automatisch andere Programme ins System installieren! Bin leider gezwungen Flash zu installieren, aber sonst versuche ich diese Produkte nicht zu installieren. Für jedes Produkt wird mein System um 10% langsamer, weil sie nicht fähig sind Programme zu schreiben die nicht im Autostart sind (und 2-3 Services im Hintegrund laufen lassen). Ehm mal sehen - Ich weiss nicht - läuft bei mir ein Java?? $ ps -A|grep java $ Sieht nicht so aus. Also mal den Browser mit eine Java App starten: dann $ ps -A|grep java 357 ? 00:00:01 java_vm Ok jetzt läuft eins - Browser schliessen: $ ps -A|grep java $ Aha kein Java mehr. Die können das also schon so programmen, dass es sich wieder schliesst. Nur vielleicht nicht unter Windows??

Avatar
crimle
12.04.2010
Nochmals bin ich grundsätzlich einverstanden. Beispiel: beim Browser "Firefox" startet die Überprüfung auf eine neue Version dann, wenn man Firefox startet und das ist auch gut so. Java ist aber ein Runtime Environment (JRE), welches von verschiedenen Programmen verwendet wird (Firefox, Internet Explorer, Steuererklärungs-Software, ...). Es gibt unter > Alle Programme auch keinen Punkt "Java". Ich vermute, dass hier der Hase im Pfeffer liegt. Es wäre zwar denkbar, die Updateüberprüfung erst dann durchzuführen, wenn eine Java-verwendende Software Java aufruft. Da Java aber extrem alltäglich ist, kann ich damit leben, wenn die Java-Updateüberprüfungim Autostart ist. Mehr Mühe habe ich mit Quicktime, iTunes, und weiss der Kuckuck was sich sonst noch im Autostart einnistet.

Avatar
Adriano
12.04.2010
Aha kein Java mehr. Die können das also schon so programmen, dass es sich wieder schliesst. Nur vielleicht nicht unter Windows?? Die Möglichkeiten sind 2: 1) Sie schaffen es nicht unter Linux ein Prozess automatisch zu starten 2) Sie wollen, dass Windows 2-3 Sekunden mehr braucht um zu starten. Aber egal, Java hat mich so aufgeregt, dass ich es installiere um es dann zu anwenden und dann deinstalliere ich es gleich wieder (brauch es ja eh nur 1 Mal pro Jahr, und das nur weil wir in der Schweiz, in der Schule, nur Java lernen und keine richtige Programmiersprache)

Avatar
Tuxone
12.04.2010
haha wayne. :p

Avatar
maurers
12.04.2010
Ehm mal sehen - Ich weiss nicht - läuft bei mir ein Java?? $ ps -A|grep java $ Sieht nicht so aus. Also mal den Browser mit eine Java App starten: dann $ ps -A|grep java 357 ? 00:00:01 java_vm Ok jetzt läuft eins - Browser schliessen: $ ps -A|grep java $ Aha kein Java mehr. Die können das also schon so programmen, dass es sich wieder schliesst. Nur vielleicht nicht unter Windows?? greifft ja auch kein Schwein Unix/AIX Systeme an ! :-) Pass bloss auf dass niemand Deine Pipe grept :-)

Avatar
zottel
13.04.2010
da sieht man wiedermal den Vorteil von Plug-In System von Mozilla.

Avatar
Adriano
13.04.2010
da sieht man wiedermal den Vorteil von Plug-In System von Mozilla. Huh??? Meinst du, es könnte daran liegen, dass Plug-In ein besseres Wort ist als Add-In? Hast schon recht, MS sollte es umbenennen und es Plug-In nennen, dann währe es viel viel besser!