Thema: Java ...

[SiLæncer]

Eine schwere Sicherheitslücke haben die Sicherheitsexperten von iDefense in der Plug-In-Architektur der Java 2 Runtime Environment Standard Edition (JRE) entdeckt, die es Angreifern gestattet, auf einem fremden Rechner beliebigen Programmcode auszuführen. Sun bietet bereits eine Version an, die das Sicherheitsloch in der Java-Engine schließt und so Windows- und Linux-Systeme gegen entsprechende Attacken schützt. Außerdem wurde eine weniger gefährliche Sicherheitsanfälligkeit in der Java-Implementierung von Opera entdeckt.

Wie die Sicherheitsexperten von iDefense in einem Security Bulletin berichten, gestattet ein Sicherheitsloch in der Plug-In-Architektur der Java Engine, die Sicherheitseinschränkungen der Java-Sandbox zu umgehen. So lässt sich über JavaScript-Kommandos eine "unsafe class" laden, was normalerweise über ein Java-Applet nicht möglich sein sollte.

Das versetzt einen Angreifer in die Lage, beliebigen Programmcode über bösartige Java-Applets auf fremde Systeme zu schleusen, beliebige Daten von einem solchen System zu laden oder auf das Netzwerk eines anderen Nutzers zuzugreifen. Da sich Programmcode mit den Rechten des Nutzers ausführen lässt, verhilft das zu einer weit reichenden Kontrolle über das entsprechende System. Ein Opfer muss nur dazu gebracht werden, ein entsprechendes Java-Applet in einem der betroffenen Browser zu laden, zu denen der Internet Explorer, Mozilla und Firefox zählen, wobei Letztere sowohl auf der Windows- als auch auf der Linux-Plattform angreifbar sind. Nach Ansicht von iDefense könnte ein Angreifer einen plattformunabhängigen Exploit schreiben, der sowohl unter Windows als auch unter Linux für einen Angriff genutzt werden kann.

Das Sicherheitsloch wurde für die Java 2 Platform Standard Edition (J2SE) 1.4.2_01 und 1.4.2_04 bestätigt, könnte aber auch in früheren Versionen der Java-Engine stecken. Sun bietet mit der J2SE 1.4.2_06 bereits eine aktuelle Version kostenlos zum Download an, in der der Fehler behoben wurde.

http://java.sun.com/j2se/1.4.2/download.html

Die aktuelle Opera-Version 7.54 ist von diesem Problem nicht betroffen, weil Opera - im Unterschied zu den anderen Web-Browsern - die Java-Funktionen nicht über die Plug-In-Technik einbindet, sondern sich für eine andere Methode entschieden hat. In dieser wurde dafür eine andere, als weniger gefährlich eingestufte Sicherheitsanfälligkeit gefunden, worüber Angreifer Angaben zum Home-Verzeichnis sowie den Java-Installationspfad auslesen können. Außerdem lässt sich darüber Opera gezielt zum Absturz bringen.

Der Fehler wurde für Opera 7.54 bestätigt, dürfte sich aber auch in früheren Opera-Versionen wiederfinden. Derzeit bietet Opera keine aktuelle Final-Version an, die den Fehler behebt. Nur in der Vorabversion von Opera 7.60 wurde das Problem beseitigt; eine Final-Version von Opera 7.60 wird für Ende des Jahres erwartet.

Quelle : www.golem.de

[Jürgen]

Kleiner Hinweis für die Firefox-Nutzer unter uns:

Leider verrät Firefox nicht direkt die Version der verwendeten Java-Version.
Das reine Vorhandensein einer Sun JRE ist an dem Menueeintrag "Extras" --> "DOM-Inspector" zu erkennen. Zumindest bei mir führt nämlich die Nachfrage über "Systemsteuerung" --> "Java Plug-in" unter "Browser" zu einem Fehler beim Versuch, Firefox dort als "Mozilla 1.1 oder höher" anzusprechen, eigentlich kein Wunder.
Welche Version im Browser tatsächlich genutzt wird, ist einfach über folgende Webseite abfragbar:
http://www.java.com/en/download/help/testvm.jsp
Den dort auch gezeigten Text "You are using an older version..." finde ich im Zusammenhang mit der hier installierten 1.4.2_06 allerdings etwas unpassend...

[Jürgen]

heise Security hat auf dem c't-Browsercheck einen Test eingebaut, der das gestern gemeldete Sicherheitsproblem in Suns Java-Plugins überprüft. Durch einen Fehler kann JavaScript-Code auf sicherheitsrelevante Methoden eines Java-Applets zugreifen. Damit könnte ein Applet aus der Sandbox ausbrechen und beispielsweise Dateien überschreiben oder lesen und übers Netz versenden.

Sun hat den Fehler zwar in Version 1.4.2_06 beseitigt und stellt diese Version als Java Runtime Environment (JRE) für Windows, Linux und Solaris zum Download bereit. Doch unglücklicherweise sind auf diversen Sun-Seiten -- unter anderem der deutschen Download-Seite -- noch ältere Versionen verlinkt, die den Fehler noch enthalten. Die JRE 1.5 -- auch als Standard Edition 5.0 bezeichnet -- ist nicht von dem Problem betroffen.

Das unter Linux sehr beliebte Java der Blackdown-Gruppe wies den Fehler ebenfalls auf. Die Entwickler haben ihn in Version 1.4.2_01 behoben und ein eigenes Advisory veröffentlicht. Unerfahrene Linux-Anwender sollten jedoch besser warten, bis ihr Distributor aktualisierte Java-Pakete bereitstellt.

Der Test auf dem Browsercheck versucht, via JavaScript eine harmlose, aber eigentlich gesperrte Methode eines aktiven Java-Applets anzusprechen. Gelingt dies, ist das Java-Plugin verwundbar und der Test liefert eine dementsprechende Meldung.

Update:
Opera verwendet eine grundsätzlich andere Methode, um JavaScript und Java zu verbinden. Deshalb liefert der Test unter Opera falsche Ergebnisse. Allerdings lässt sich der Fehler laut Jouko Pynnonen grundsätzlich auch unter Opera ausnutzen, sodass Opera-Anwender eine aktuelle Java-Version ab 1.4.2_06 installieren sollten.

Siehe dazu auch:

    * Java-Test auf dem c't-Browsercheck
Quelle und Links:
http://www.heise.de/newsticker/meldung/53582

[SiLæncer]

Sun behebt weiteres Sicherheitsloch in Java-Virtual-Machine

Suns Java-Plug-In für den Internet Explorer weist eine schwere Sicherheitslücke auf, die es Angreifern erlaubt, beliebigen Programmcode auf einem fremden Rechner auszuführen. Bereitgestellte Updates sollen das Sicherheitsloch schließen und ein weiteres Leck in Suns Java-Virtual-Machine stopfen, das einem Java-Applet gestattet, ein anderes Applet ohne entsprechende Berechtigungen zu beeinflussen.

Das von Fujitsu entdeckte Sicherheitsleck im Java-Plug-In für den Internet Explorer erlaubt es einem Angreifer, über JavaScript Java-Klassen zu laden, auf die normalerweise nur die Java-Virtual-Machine Zugriff hat. Somit lässt sich beliebiger Programmcode auf einen fremden Rechner ausführen, womit sich ein Angreifer eine umfassende Kontrolle über das System verschaffen kann. Aber auch das Lesen und Schreiben von lokalen Dateien ist so möglich.

Für das SDK und JRE bietet Sun die Versionen 1.4.2_01 und 1.3.1_13 zum Download an, welche das Sicherheitsloch beseitigen.

In der Java Virtual Machine für Windows, Linux und Solaris wurde ein weiteres Sicherheitsloch entdeckt, worüber ein Java-Applet ein anderes Applet beeinflussen kann, ohne dass die eigentlich erforderlichen Berechtigungen vorliegen. Das Sicherheitsleck wurde ebenfalls im SDK und JRE ab den Versionen 1.4.2_06 und 1.3.1_13 behoben; entsprechende Updates stehen zum Download bereit.
http://sunsolve.sun.com/search/document.do?assetkey=1-26-57708-1
Sowohl das JDK als auch das JRE 5.0 weisen keine der beiden Sicherheitslücken auf.

Quelle : www.golem.de

[SiLæncer]

Eine Schwachstelle in Suns Java Web Start gefährdet die Sicherheit von PCs. Bereits durch den Besuch einer präparierten Web-Seite kann das System mit Schädlingen infiziert werden. Web Start ist eine Technik, mit deren Hilfe sich Java-Anwendungen sehr leicht über Web-Server verteilen und über einen Browser aufrufen lassen. Sie ist Bestandteil der Java-Laufzeitumgebung (JRE).

Durch einen Fehler im Web Start Launcher können Java-Anwendungen ihre Zugriffsrechte auf ein System erhöhen und sich beispielsweise selbst Lese- und Schreibrechte gewähren oder bereits auf dem PC vorhandene andere Programme starten. Normalerweise sollte die Sandbox dies bei nicht vertrauenswürdigen Java-Anwendungen verhindern. Aufgrund der Lücke im Launcher kann ein Angreifer mit manipulierten JNLP-Dateien aber eigene Befehle an die Java Virtual Machine übergeben und so die Sandbox abschalten.

Betroffen ist Java Web Start unter Windows, Solaris und Linux in allen Versionen 1.4.2 der Java 2 Platform Standard Edition (J2SE) bis einschließlich 1.4.2_06. Nicht betroffen sind J2SE 5.0 und J2SE vor Version 1.4.2. Die Lücke ist unabhängig vom eingesetzten Browser (Internet Explorer, Firefox und Mozilla), nur Opera ist nicht betroffen, da er standardmäßig nicht mit JNLP-Dateien verknüpft ist. Der Internet Explorer öffnet JNLP-Dateien automatisch, andere Browser fragen per Dialog nach, ob die Datei geöffnet oder gespeichert werden soll.

Sun hat den Fehler in J2SE 1.4.2_07 behoben. Alternativ können Anwender ihr System auch gleich auf J2SE 5.0 Update 2 heben. In vielen Web-Start-Installationen ist die automatische Aktualisierung aktiv, hier genügt es, dem Update zuzustimmen. Als Workaround schlägt der Hersteller vor, den Start von Java-Web-Start-Anwendungen durch den Browser zu deaktivieren. Ein Anleitung dazu hat Sun in seinem Advisory veröffentlicht. Da sich die Anwendungen auch über die Kommandozeile starten lassen, empfiehlt Sun zusätzlich, den Launcher (javaws.exe unter Windows und javaws unter Solaris und Linux) umzubenennen, um den unerwünschten Aufruf zu verhindern.

Quelle und Links : http://www.heise.de/newsticker/meldung/57730

[SiLæncer]

Sun hat für seinen Java System Web Proxy Server ein Update veröffentlicht, um einen Buffer Overflow zu beseitigen. Nach Angaben des Herstellers kann ein Angreifer den Fehler über das Netzwerk ausnutzen, um Code einzuschleusen. Der sollte sich allerdings nur mit eingeschränkten Rechten starten lassen, da der Server standardmäßig mit den User-Rechten "Nobody" installiert wird.

Unter Umständen stürzt der Server bei einer Attacke auch ab. Nähere Angaben macht Sun zu der Schwachstelle nicht. Betroffen sind die Versionen 3.6 bis einschließlich Service Pack 6 auf allen unterstützten Betriebssystemen. In Service Pack 7 ist der Fehler beseitigt.

Bereits vergangene Woche musste Sun Updates veröffentlichen, um Lücken im Java System Web Server (ehemals Sun ONE Web Server und iPlanet Web Server) und Sun ONE/Java System Directory Server zu schließen.

Quelle und Links : http://www.heise.de/security/news/meldung/58814

[SiLæncer]

Anwender, auf deren Systemen Suns Java Runtime Environment oder Java Web Start läuft, sollten schleunigst ein Update installieren. Durch eine kritische Sicherheitslücke können manipulierte "untrusted" Applets und JLNP-Dateien die Sicherheitsrestriktionen umgehen und auf beliebige Dateien lesend und schreibend zugreifen. Auch das Starten bereits anderer installierter Anwendungen ist möglich.

Web-Server können den PC so beim Aufruf einer Seite mit Schadcode infizieren. Die Zugriffe erfolgen jeweils im Kontext des angemeldeten Anwenders. Nähere Angaben macht Sun zu den Lücken nicht. Eine ähnlich kritische Lücke in Web Start gab es bereits im März dieses Jahres.

Betroffen sind diesmal Java 2 Platform, Standard Edition(J2SE) 5.0 und 5.0 Update 1 für Windows, Solaris und Linux, J2SE 1.4.2_07 und vorhergehende Versionen für Windows, Solaris and Linux sowie Java Web Start in Java 2 Platform Standard Edition (J2SE) 5.0 und 5.0 Update 1 für Windows, Solaris and Linux. Nicht betroffen sind sämtliche J2SE 1.3.1_xx-Versionen, Java Web Start vor 5.0 und Java Web Start 1.0.1_02 einschließlich der vorhergehenden Versionen.

Der Hersteller hat für Web Start und die Runtime Environment die Version 5.0 Update 2 veröffentlicht, um die Lücke zu schließen. Für den 1.4.2-Zweig behebt J2SE 1.4.2_08 das Problem. Alternativ können Anwender die Lücke in Web Start auch beheben, indem sie die Verknüpfung mit JNLP-Dateien lösen. Wie man das macht, beschreibt Sun in dem Advisory Security Vulnerability With Java Web Start.

Quelle und Links : http://www.heise.de/newsticker/meldung/60615

[SiLæncer]

Suns Java System Web Proxy Server, ein in Java programmierter Web-Proxy zur Reduktion der benötigten Internet-Bandbreite, enthält drei Schwachstellen, die einen Denial-of-Service aus dem Internet ermöglichen. Das Ausnutzen der Lücken führt dazu, dass der Server keine Anfragen mehr beantwortet.

Betroffen ist laut Sun die Version 3.6 bis einschließlich Service-Pack 7 des Web-Cache, und zwar sowohl unter Unix als auch auf Windows-Systemen. Sun schließt die Lücken mit einem neuen Service-Pack und stellt die aktualisierten Versionen auf seiner Homepage zum Download zur Verfügung.

Details zu den Lücken nennt Sun wie üblich nicht.

Siehe dazu auch:

    * Security Advisory von Sun
    * Download von Suns Java-Proxy 3.6 Service Pack 8

Quelle und Links : http://www.heise.de/newsticker/meldung/63849

[SiLæncer]

Der Hersteller Sun meldet fünf kritische Sicherheitslücken in älteren Versionen seiner Java-Laufzeitumgebung (Java Run-Time Environment, JRE), mit der untrusted Applets aus der Sandbox ausbrechen und die Kontrolle über den Rechner erlangen können. Eine präparierte Seite kann auf diese Weise den Rechner mit Schadcode infizieren, sofern Suns Java installiert ist. Anwender sollten ihre Version überprüfen und gegebenenfalls aktualisieren.

Drei der Fehler (Bug-IDs 6263857, 6277266 und 6277659) treten bei Verwendung so genannter Reflection APIs auf, ein weiterer Fehler (Bug 6268876) steckt in den Java Management Extensions (JMX). Ein anderer Fehler (6243400) scheint allgemeinerer Natur zu sein. Sun macht zu den Schwachstellen aber keine weiteren Angaben. Die Fehler sind über diverse Versionen der JRE, JDK und SDK verteilt und finden sich sowohl unter Windows und Solaris als auch Linux. Betroffen sind:

BugID 6243400: JDK/JRE 5.0 Update 3
BugID 6268876: JDK/JRE 5.0 Update 3
BugID 6263857: SDK/JRE 1.3.1_15, 1.4.2_08, JDK/JRE 5.0 Update 3
BugID 6277266: SDK/JRE 1.4.2_08, JDK/JRE 5.0 Update 3
BugID 6277659: SDK/JRE 1.4.2_08, JDK/JRE 5.0 Update 3
(jeweils einschließlich dieser und den vorhergehenden Versionen)

Der Hersteller empfiehlt auf JDK und JRE 5.0 Update 4, J2SE 5.0 beziehungsweise SDK und JRE 1.4.2_09 zu aktualiseren. Derzeit stehen bereits JDK und JRE 5.0 Update 5 sowie SDK und JRE 1.4.2_10 zum Download bereit.

Siehe dazu auch:

    * Security Vulnerabilities in the Java Runtime Environment Advisory von Sun
    * Security Vulnerability With Java Management Extensions in the Java Runtime Environment Advisory von Sun
    * Security Vulnerabilities in the Java Runtime Environment 2 Advisory von Sun

Quelle und Links : http://www.heise.de/newsticker/meldung/66770

[SiLæncer]

Die Ende November in Suns Java-Laufzeitumgebung (JRE) gemeldeten kritischen Sicherheitslücken finden sich teilweise auch in der Implementation von IBM. Die insgesamt drei in einem IBM-Advisory genannten Schwachstellen ermöglichen beispielsweise Java-Applets in manipulierten Web-Seiten unerlaubte Systemzugriffe und das Einschleusen von beliebigem Schadcode.

WebSphere-Server seien davon nicht betroffen, da sie nur "trusted Applets" verarbeiten, heißt es in dem Advisory. IBM macht keine genauen Angaben zu den betroffenen Versionen, verweist jedoch auf die gefixten SDK-Versionen der Serie 1.4.2 und 1.3.1 für Windows, Linux, Solaris und HP-UX. Ein Upgrade ist dringend zu empfehlen.

Siehe dazu auch:

    * Java Reflection API privilege escalation vulnerability, Advisory von IBM
    * Sun meldet kritische Sicherheitslücken in Java-Laufzeitumgebung, Artikel auf heise Security


Quelle und Links : http://www.heise.de/security/news/meldung/67476

[SiLæncer]

Durch mehrere Sicherheitslücken in den Entwicklungs- und Laufzeitumgebungen von Suns Java-Implementierung können sich nicht vertrauenswürdige Applets über ihre Zugriffsrestriktionen hinwegsetzen und vollen Zugang zum Dateisystem mit den Rechten des ausführenden Nutzers erlangen. Der Hersteller veröffentlichte einige Wochen nach Herausgabe aktualisierter Versionen nun entsprechende Advisories. Demnach betreffen die Probleme sämtliche Versionen des Software Development Kits (SDK) und des Java Runtime Environments (JRE) der Serien 1.3 und 1.4, die Laufzeitumgebung Java 2 Standard Edition (J2SE) und das Java Development Kit (JDK) der aktuellen Serie 5.0 unter Windows, Solaris und Linux.

Sieben der Fehler befinden sich in der so genannten Reflection-API, mit der Java-Applikationen beispielsweise für Debugging-Zwecke Zugriff auf interne Klassen und Strukturen der ausführenden virtuellen Maschine erhalten. Eine weitere Schwachstelle, die ebenfalls vollen Dateizugriff mit Nutzerrechten ermöglicht, befindet sich in Java Web Start, das als Teil aktueller Laufzeitumgebungen die Ausführung und Verwaltung von Java-Applets erleichtert. Die genannten Probleme wurden in JDK und JRE 5.0 Update 6 sowie in den älteren SDKs und JREs der Versionen 1.4.2_10 und 1.3.1_17 behoben.

Die installierte Java-Version lässt sich mit dem Kommandozeilenbefehl java -fullversion bestimmen. Liefert der Befehl beispielsweise die Ausgabe 1.5.0_06-b05, so wurde bereits die aktuelle Version 5.0 Update 6 eingespielt. Durch den beliebigen lesenden und schreibenden Dateizugriff mit Benutzerrechten können Java-Applets von manipulierten Websites oder in E-Mails beispielsweise vertrauliche Benutzerdaten auslesen oder Hintertüren auf den betroffenen Systemen öffnen, die sich für weitere Angriffe nutzen lassen. Sun empfiehlt daher allen Anwendern ein umgehendes Upgrade auf eine fehlerbereinigte Version. Wie die Erfahrung bei älteren Java-Problemen zeigt, könnten die weit verbreiteten Implementierungen von Blackdown und IBM die Schwachstellen ebenfalls enthalten.

Siehe dazu auch:

    * Security Vulnerabilities in the Java Runtime Environment may Allow an Untrusted Applet to Elevate its Privileges, Advisory von Sun
    * Security Vulnerability With Java Web Start, Advisory von Sun

Quelle und Links : http://www.heise.de/security/news/meldung/69356

[SiLæncer]

Sicherheit ist ein Prozess – die Binse gilt auch bei Suns Java: Nutzer, die noch das Java Runtime Environment der Version 5.0 Update 5 sowie ältere Ausführungen des Browser-Plug-ins und von Java Web Start einsetzen, sollten ihre Software nun doch einmal aktualisieren. Neuere Versionen des Browser-Plug-ins und von Web Start beheben eine Lücke, über die Applets und Anwendungen beim Aufruf ein noch auf dem System vorhandenes, nicht gepatchtes Java Runtime Environment (JRE) starten können.

Durch diesen Fehler wird das System auch wieder anfällig für ältere Schwachstellen. Suns Sicherheitswarnung gilt nicht nur für Windows-Anwender, auch Linux- und Solaris-Anwender müssen die aktuelle JRE-Version 8 einspielen und alle älteren Varianten löschen. Details listet Sun in seiner Alert Notification.

http://java.sun.com/javase/downloads/index.jsp

Quelle : www.heise.de

[SiLæncer]

Sun weist in einer Sicherheitswarnung auf eine Schwachstelle in JDK und JRE 5.0 hin, durch die nicht vertrauenswürdige Applets auf die Daten anderer Applets zugreifen können. Insbesondere wenn der Anwender gerade mehrere Webseiten besucht, die Applets benutzen, könnten Angreifer über einen manipulierten Webserver Informationen ausspähen. Beispielsweise nutzen einige Banken Java-Applets für HBCI.

Laut Sun beruht das Problem auf einem Fehler in der Swing-Bibliothek der Java Runtime Environment (JRE) und ist dort bis einschließlich Update 7 für Solaris, Linux und Window zu finden. Ab Update 8 ist der Fehler beseitigt, aktuell ist mittlerweile bereits Update 9. Anwender sollten ihre Java-Version überprüfen und gegebenenfalls aktualisieren – auch wenn das automatische Java-Update standardmäßig im Hintergrund mitläuft, zeigt sich oft, dass die Version nicht auf dem neuesten Stand ist. Mit java -version lässt sich die benutzte Version anzeigen.

Da Java-Updates in der Regel eine vollständig neue Version installieren, ohne die vorherige zu löschen, müssen die alten verwundbaren Versionen per Hand gelöscht werden. SDK und JRE 1.4.2_xx und vorherige sowie 1.3.1_xx und vorherige sind nicht betroffen.

Siehe dazu auch:

    * # A Security Vulnerability in the Java Runtime Environment Swing Library may Allow an Untrusted Applet to Access Data in Other Applets, Fehlerbericht von Sun

Quelle und Links : http://www.heise.de/security/news/meldung/81122

[SiLæncer]

Sun rückt mit einiger Verspätung Details zu Lücken in Java heraus, die bereits in JDK 5.0 Version 9 geschlossen wurden. Verfügbar ist allerdings seit kurzem schon Update 10. Sun bleibt damit seiner Strategie treu, auf Fehler erst dann hinzuweisen, wenn die Software mindestens mit einer Versionsnummer höher als bei der fehlerbereinigten Version verfügbar ist.

Unter anderem sind zwei Buffer Overflows im Java Runtime Environment (JRE) beseitigt, über die nicht vertrauenswürdige Applets Zugriff auf Systemresourcen erhielten konnten und etwa beliebige Dateien mit den Rechten des Anwenders lesen, schreiben und ausführen konnten. Zwei weitere Fehler in der Serialisierung der JRE führten ebenfalls dazu, dass ein Applet seine Rechte erhöhen konnte. Schließlich ist es über zwei Schwachstellen möglich, dass ein Applet auf die Daten eines anderen Applets zugreifen kann. Die Fehler sind auch in den DK- und JRE-Versionen bis 1.4.2_12 zu finden, teilweise auch bis 1.3.1_18. Hierfür stehen ebenfalls Updates (1.4.2_13 und 1.3.1_19) bereit.

Wer noch nicht auf die aktuellen Versionen aktualisiert hat, sollte die Warnungen von Sun nun zum Anlass nehmen. Zu beachten ist allerdings, dass Java-Updates in der Regel eine vollständig neue Version installieren, ohne die vorherige zu löschen. Anwender müssen die alten verwundbaren Versionen also per Hand deinstallieren.

Siehe dazu auch:

    * Security Vulnerabilities Related to Serialization in the Java Runtime Environment may Allow Untrusted Applets to Elevate Privileges, Fehlerbericht von Sun
    * Security Vulnerabilities in the Java Runtime Environment may Allow an Untrusted Applet to Access Data in Other Applets, Fehlerbericht von Sun
    * Security Vulnerabilities in the Java Runtime Environment may Allow Untrusted Applets to Elevate Privileges and Execute Arbitrary Code, Fehlerbericht von Sun


Quelle und Links : http://www.heise.de/security/news/meldung/82796

[SiLæncer]

Ein Fehler in der Java Virtual Machine von Sun lässt sich ausnutzen, um über präparierte GIF-Bilder Code auf ein System zu schleusen und auszuführen. Nach Angaben der Zero Day Initiative (ZDI) provoziert ein GIF-Bild mit der Breite 0 in einem Image-Block einen Überlauf, was zu diversen fehlerhaften Pointern führt. Wenigstens einer davon lässt sich laut Fehlerbericht missbrauchen, um den Speicher gezielt zu manipulieren. Darüber kann ein nicht vertrauenswürdiges Applet seine Privilegien erhöhen, um Zugriff auf sämtliche Ressourcen des Systems zu erhalten. Ein Anwender muss allerdings eine bösartige Webseite besuchen, um angegriffen zu werden. In der Regel genügt es dem Angreifer oftmals aber schon, dem Opfer einen vermeintlich interessanten Link per Mail zu schicken, um dies zu erreichen.

Betroffen sind JDK und JRE 5.0 Update 9 und vorhergehende, SDK und JRE 1.4.2_12 sowie vorhergehende und SDK und JRE 1.3.1_18 sowie frühere Versionen auf Windows, Solaris und Linux. In den seit Ende Dezember verfügbaren Versionen JDK/JRE 5.0 Update 10, SDK/JRE 1.4.2_13 und SDK/JRE 1.3.1_19 sind die Fehler behoben. Zu beachten ist, dass Java-Updates in der Regel eine vollständig neue Version installieren, ohne die vorherige zu löschen. Anwender müssen die alten verwundbaren Versionen also per Hand deinstallieren.

Siehe dazu auch:

    * Security Vulnerability in Processing GIF Images in the Java Runtime Environment May Allow an Untrusted Applet to Elevate Privileges, Fehlerbericht von Sun
    * Sun Microsystems Java GIF File Parsing Memory Corruption Vulnerability, Fehlerbericht von ZDI


Quelle und Links : http://www.heise.de/newsticker/meldung/83811