Alert! Gefährliche Lücke in aktueller Java-Version

In der aktuellen Java-Version 7 Update 10 klafft eine kritische Sicherheitslücke, die offenbar bereits im großen Stil für Cyber-Angriffe ausgenutzt wird. Wer Java auf seinem Rechner installiert hat, sollte das Java-Plug-in im Browser umgehend deaktivieren.

Ein Malware-Forscher mit dem Pseudonym kafeine hat im Netz einen Exploit entdeckt, der eine bislang unbekannte Java-Schwachstelle ausnutzt. Die Sicherheitsexperten von AlienVault analysierten den Exploit daraufhin und bestätigen die Brisanz des Funds: Es gelang ihnen damit, Code in ein vollständig gepatches Windows-System mit Java 7 Update 10 einzuschleusen. Unklar ist derzeit noch, ob die Lücke auch in dem 6er Versionszweig klafft. Bei einem ersten Test von kafeine zündete der Exploit unter Java 6 nicht.

Die Schwachstelle wird bereits aktiv von Cyber-Kriminellen zur Verbreitung von Malware ausgenutzt. Laut dem Security-Blogger Brian Krebs gibt es passende Angriffsmodule für die Exploit-Kits Black Hole und Nuclear Pack. Laut Krebs hat der Black-Hole-Entwickler mit dem Pseudonym Paunch am gestrigen Mittwoch in Untergrundforen verkündet, dass der Zero-Day-Exploit eine Neujahrsgabe für seine zahlende Kundschaft sei.

Da die Lücke mit Hilfe der Exploit-Kits mit geringem Aufwand auszunutzen ist, muss man damit rechnen, dass die Zahl der Seiten, auf denen der Java-Exploit lauert, im Laufe der nächsten Tage explodiert. Es genügt bereits, eine verseuchte Webseite aufzurufen, um Opfer einer Malware-Infektion zu werden. Der Angriffscode kann dabei auch auf seriösen Webseiten lauern.

Man sollte das Java-Plug-in im Browser daher umgehend deaktivieren. Wie das funktioniert, erfährt man auf den folgenden Seiten:

• Java-Plug-in unter Firefox deaktivieren
• Plug-ins unter Chrome deaktivieren
• Java-Plug-in unter Safari deaktivieren

Unter Opera erreicht man die Plugin-Verwaltung durch die Eingabe von opera:plugins in die Adressleiste. Beim Internet Explorer lässt sich Java nur schwer abschalten. Bei einem Test von heise Security zeigte sich, dass der Microsoft-Browser auch dann noch auf das Java-Plug-in zugreifen kann, wenn es explizit deaktiviert wurde.Wer den IE einsetzt, sollte Java daher besser vollständig über Systemsteuerung/Software deinstallieren. Ob man Java erfolgreich deaktiviert hat, verrät die Java-Testseite unseres Browserchecks.

Update vom 10.01.2013, 17:15: Der Malware-Forscher kafeine hat in seinem Blog ein ZIP-Archiv veröffentlicht, das den Angriffscode enthalten soll. (rei)