[Warning] Zero-Day Schwachstelle in Oracle Java 7

[Matthias Fraidl]

27. August 2012

Der Sicherheitsexperte Atif Mushtaq von FireEye hat eine Zero-Day
Sicherheitslücke in Oracle Java entdeckt, welche auch bereits aktiv
ausgenutzt wird. CERT.at ersucht um Beachtung der folgenden Meldung.

Beschreibung

Wird ein User auf eine speziell präparierte Webseite geleitet, kann sein
System durch diese Schwachstelle mit Schadcode infiziert werden. Anfangs
wurden nur gezielte Angriffe[1] festgestellt, mittlerweile existiert
auch ein ensprechendes Modul für das Metasploit Framework.

Auswirkungen

Da der Angreifer dadurch potentiell beliebigen Code auf betroffenen
Systemen ausführen kann, sind alle Daten auf diesen Systemen, sowie alle
durch diese erreichbaren (etwa durch Login, VPN etc.) Daten und Systeme
gefährdet.

Betroffene Systeme

Derzeit ist noch klar welche Systeme wirklich betroffen sind, laut
heise.de[2] sind alle Versionen von Java 7 bis Update 6 auf Windows 7
(inkl. SP1) betroffen. Andere Quellen hingegen sprechen nur von
folgenden Systemen:
   * Mozilla Firefox auf Ubuntu Linux 10.04
   * Internet Explorer / Mozilla Firefox / Chrome auf Windows XP
   * Internet Explorer / Mozilla Firefox auf Windows Vista
   * Internet Explorer / Mozilla Firefox auf Windows 7

Abhilfe

Bis ein Patch zur Verfügung gestellt wird, empfiehlt CERT.at, soweit
möglich die Java-Plugins in allen Browsern zu deaktivieren[3].

Hinweise

Generell empfiehlt CERT.at, wo möglich die "automatisches
Update"-Features von Software zu nutzen, parallel Firewall-Software
aktiv und den Virenschutz aktuell zu halten.
     __________________________________________________________________

References

   1.
http://blog.fireeye.com/research/2012/08/zero-day-season-is-not-over-yet.html
   2.
http://www.heise.de/security/meldung/Warnung-vor-kritischer-Java-Luecke-1675454.html
   3. http://www.us-cert.gov/reading_room/securing_browser/

-- 
// CERT Austria
// Matthias Fraidl <fraidl at cert.at>
// T: +43 1 5056416 718
// http://www.cert.at/

-------------- next part --------------
A non-text attachment was scrubbed...
Name: signature.asc
Type: application/pgp-signature
Size: 897 bytes
Desc: OpenPGP digital signature
URL: <http://lists.cert.at/pipermail/warning/attachments/20120827/7157a750/attachment.sig>