US-CERT warnt weiterhin vor Einsatz von Java

Das US-CERT rät weiterhin vom Einsatz von Oracles Java Browser-Plugin ab – wer es nicht braucht, sollte es auch nach dem letzten Update deaktivieren oder deinstallieren. Das CERT stützt seine Vorsicht auf Erkenntnisse von Sicherheitsforschern von Immunity. Demnach soll die gefährliche Lücke, die das Einschleusen von Code über kompromittierte Webseiten ermöglicht, mit dem Patch gar nicht geschlossen worden sein. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gibt hingegen Entwarnung. Mit Einspielen des Updates "können auch die Browser-Plugins wieder aktiviert und genutzt werden".

Sein neu angefachtes Misstrauen drückt das US-CERT mit einem Update in seiner Warnung vor den Java-Sicherheitslücken aus. Mit der weiteren Deaktivierung von Java könne man die Folgen abschwächen, die drohen, "wenn in Zukunft andere Java-Sicherheitslücken gefunden werden."

Zudem hat Immunity Oracles Update unter die Lupe genommen und die Ergebnisse in einem Blogeintrag veröffentlicht. Die Bilanz: Oracle hat mit dem Update nur eine der beiden Lücken gestopft. Finden Kriminelle eine neue Zero-Day-Lücke als Einstiegstor, wird die Lücke wieder ausnutzbar. Von den Kriminellen genutzte Exploit-Tools müssten dann nur noch angepasst werden und wären schnell wieder im Einsatz. Die Sicherheitsforscher weisen deshalb darauf hin, dass es gerade heute wichtig ist "jedem einzelnen Bug besondere Aufmerksamkeit zu schenken."

Was zukünftige Angriffe seit dem Update allerdings erschwert, ist die von Oracle vorgenommene Veränderung der Sicherheitseinstellungen für Applets – dadurch wurde das Vertrauen gegenüber unsignierten Applets herabgesetzt; Nutzer werden gewarnt. Exploits sollten diese Signatur nur schwerlich erhalten. (kbe)