Kritische Sicherheitslücke im Security Manager

Zusammenfassung

Im Januar 2013 wurde eine bereits aktiv ausgenutzte Lücke im Security Manager von Java 7 bis einschließlich Update 10 bekannt. Über eine Kombination aus JMX MBean und internen JavaScript-Klassen in einem Applet ließ sich der Security Manager aushebeln und Code aus Webseiten ausführen. Das US-CERT empfahl, Java im Browser zu deaktivieren, einen Patch von Oracle gab es noch nicht.

Ideen

• Der Security Manager sollte Applets einsperren, war aber umgehbar.
• Ein Sicherheitsforscher mit dem Alias Kafeine fand den Exploit bereits im Einsatz.
• Ältere Java-Versionen als 7 waren nicht betroffen.
• Die einzige Schutzmaßnahme war, Java im Browser abzuschalten.
• Der Exploit steckte bereits in Exploit-Kits wie Nuclear Pack, Redkit und Blackhole.

Einsichten

• Sandboxing innerhalb einer komplexen Laufzeitumgebung hat eine riesige Angriffsfläche.
• Wiederholte Zero-Days untergruben das Vertrauen in Browser-Plugins nachhaltig.

Fakten

• Betroffen war Java 7 bis einschließlich Update 10.
• Der Fehler lag im Security Manager der JRE 1.7.

Referenzen

• g: Kritische Sicherheitslücke im Security Manager

Kritik

• Die Meldung nennt CVE-2012-4681, die Kennung einer Java-Lücke vom August 2012; die im Januar 2013 ausgenutzte Lücke wird als CVE-2013-0422 geführt.

Empfehlungen

• Deinstalliere Browser-Plugins wie Java, die du nicht brauchst.
• Isoliere Altanwendungen, die Java-Applets benötigen, in einer eigenen virtuellen Umgebung.

Originalartikel lesen →

Im Webarchiv suchen

Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.