hß Security Update-Check wegen Sicherheitslücke stillgelegt
Zusammenfassung
heise Security legte im August 2012 seinen Online-Update-Check still, weil er Java voraussetzte und Java 7 gerade eine hochkritische, bereits ausgenutzte Lücke hatte. Die Lücke betraf alle Browser mit Java-7-Plugin; Module für das Exploit-Kit Blackhole waren schon im Umlauf, ein Patch von Oracle noch nicht angekündigt. Als Alternative empfahl heise den lokal installierten Personal Software Inspector.
Ideen
- Ein Sicherheitsdienst, der Java braucht, gefährdet seine Nutzer, wenn Java verwundbar ist.
- Exploit-Kits machen neue Lücken ohne Programmierkenntnisse ausnutzbar.
- Gegen die Zero-Day-Lücke half nur das Deaktivieren von Java.
- Ein lokales Prüfwerkzeug ersetzte den webbasierten Check.
Einsichten
- Konsequentes Abschalten des eigenen Dienstes kann die verantwortungsvollste Sicherheitsentscheidung sein.
- Browser-Plugins waren über Jahre eines der größten Einfallstore für Schadsoftware.
Fakten
- F-Secure hatte bereits Module für das Exploit-Kit Blackhole gesichtet.
- Betroffen war die aktuelle Java-Version 7 auf allen Betriebssystemen.
Referenzen
Kritik
- Die Meldung nennt keine Kennung der Lücke, was den Abgleich mit späteren Updates erschwert.
Bemerkungen
- Oracle schloss die Lücke wenige Tage später außerplanmäßig; Java-Applets im Browser sind heute ganz abgeschafft.
Empfehlungen
- Entferne Laufzeitumgebungen und Plugins, die du nicht aktiv brauchst.
- Prüfe bei Sicherheitswerkzeugen, welche Abhängigkeiten sie selbst mitbringen.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.