Angeblich neue Zero-Day-Sicherheitslücke in Java

Nur 24 Stunden nachdem Oracle eine gefährliche Sicherheitslücke mit dem Update auf Java 7u11 gepatcht hat, behauptet ein Krimineller laut "Krebs on Security", dass es eine weitere Zero-Day-Lücke gibt, die er bereits in einschlägigen Foren verkauft hat. Wie Brian Krebs schreibt, wurde der Exploit mit der neuen Lücke für mindestens 5.000 US-Dollar pro Kopf an zwei Interessierte verkauft. Der Verkäufer amüsierte sich darüber, dass Oracle "schon wieder versagt" hat.

Schon kurz nach Oracles Update Anfang dieser Woche beanstandeten Sicherheitsforscher Adam Gowdiak und Sicherheitsforscher von Immunity die Patch- und Updatepraxis des Unternehmens. Immunity stellte sogar heraus, dass Oracle nicht – wie angegeben – zwei, sondern nur eine kritische Sicherheitslücke mit Java 7u11 stopfte. Wenn ein neuer Zero-Day auftauchen würde, könnten Kriminelle ihre bereits genutzten Exploit-Kits reaktivieren. Das US-CERT nahm diese Erkenntnisse zum Anlass, weiterhin vor dem Java Browser-Plugin zu warnen. Das Bundesamt für Sicherheit in der Informationstechnik gab hingegen Entwarnung.

Brian Krebs gibt an, dass er über seine kritische Berichterstattung zu Oracle mit einigen Lesern über Twitter in Streit geriet, aber an seiner Meinung festhalte: Das Unternehmen scheine sich nicht bewusst zu sein, dass seine Software "auf Hunderten von Millionen Computern" verbreitet ist. Und mit seinem Service "scheint Oracle eine Nachricht zu verbreiten: Oracle möchte keine Hunderte von Millionen Kunden - und diese sollten bei dieser Nachricht aufhorchen und dementsprechend reagieren." (kbe)