Eventuell neue Java-Sicherheitslücke, US-CERT rät von Nutzung ab

[Niklas Marxen]

Obwohl Oracle vor Kurzem ein Update zur Verfügung gestellt hat, sollte man auf den Gebrauch von Java, wenn man kann, wohl verzichten. Zwar gibt das Bundesamt für Sicherheit in der Informationstechnik Entwarnung, jedoch sind das amerikanische Äquivalent, das US-CERT, und verschiedene Blogs anderer Meinung.[PRBREAK][/PRBREAK]



Fangen wir vorne an: Vor nicht ganz einer Woche wurde bekannt, dass es in der damals aktuellen Java-Version eine Sicherheitslücke gibt, die so gravierend ist, dass sie zum Identitätsdiebstahl und zum Aufbau eines Bot-Netzwerkes genutzt werden könne. Oracle veröffentlichte bald darauf ein Update.

Nach einer Untersuchung des Updates fand der Blog Immunity heraus, dass mit diesem Update das Problem jedoch nur unzureichend gelöst wurde. Zwei Bugs hatten die Sicherheitslücke aus gemacht - nur ein Bug wurde entfernt. Falls Tunichtgute einen anderen Bug finden, könnten sie den noch vorhandenen nutzen und die Sicherheitslücke stünde wieder einwandfrei offen. Deshalb rät das US-CERT immer noch von der Nutzung von Java ab.

Wie Krebs on Security berichtet, ist man jetzt auf Seiten der Hacker tatsächlich schon so weit. Ein neuer Bug wurde gefunden und wird bereits zum Verkauf angeboten, zusammen mit der alten nicht behobenen Lücke, können Nutzer also in Gefahr gebracht werden. Angesichts stetig wiederkehrender Berichte über Sicherheitslücke und der Tatsache, dass Java in letzter Zeit ohnehin an Bedeutung verliert, scheint die zufriedenstellendste Lösung tatsächlich zu sein, die Software endgültig zu deaktivieren.

 

[ImperatoR]

Eine gewagte These, dass Java an Bedeutung verliert. Außerdem handelt es sich wohl um die Java Virtual Machine, auf welcher auch andere Programmiersprachen laufen.

Das Google Backend setzt übrigens hauptsächlich auf die JVM bzw. Java und Python.

Andere virtuelle Maschinen, die den Java-Bytecode verstehen, sind davon vermutlich nicht betroffen; da andere Implementierung.

 

[Armpit]

Eine gewagte These, dass Java an Bedeutung verliert. Außerdem handelt es sich wohl um die Java Virtual Machine, auf welcher auch andere Programmiersprachen laufen.

Da kann ich nur zustimmen, die JVM verliert maximal an Bedeutung im Browser Umfeld... Speziell im Unternehmensumfeld nimmt die Nutzung gar nicht ab (zeigen ausreichend viele Statistiken...)

 

[Rikibu]

ist davon auch die von Apple bereitgestellte Laufzeitumgebung betroffen?

 

[abzhibilt]

Die frage ist doch idR. was muss passieren, damit die Sicherheitslücke genutzt werden kann:
Muss ich auf einer "Blink-Bunti-Seite" auf der ein Elch nach meiner Kreditkartennummer fragt etwas herunterladen und mein Adminpasswort eingeben oder kann das ganze auch ohne mein Zutun geschehen... je nachdem reicht gesunder Menschenverstand ggf. schon aus um die Gefahr minimal zu halten oder man sollte Java doch lieber deinstallieren

 

[implied]

abzhibilt: *signed*
Um Artikel Betreff Schadsoftware mehr Aussage und vor allem Nutzen (für die nicht ganz so tief in der Materie steckenden) zu geben könnte man wirklich ein leicht verständliches "Bitte macht so was nicht"- Beispiel geben - sofern bekannt - denn so mancher möchte oder kann nicht auf Java verzichten (z.B. Saalplatzbuchungen u.ä.)

 

[Gelöschter User 28079]

Muss ich auf einer "Blink-Bunti-Seite" auf der ein Elch nach meiner Kreditkartennummer fragt etwas herunterladen und mein Adminpasswort eingeben oder kann das ganze auch ohne mein Zutun geschehen...

http://www.youtube.com/watch?v=IfXMN3VhikA :-D

Das mit dem Elch fände ich fair

 

[kommerzdoedel]

Ich bin Apple nicht böse, dass sie Java seit Mountain Lion nicht mit ausliefern. Ich habe es bis jetzt nicht nachinstalliert. Photoshop CS 6 läuft komischerweise auch ohne!

 

[RedCloud]

Darf ich jetzt Mediathekview nicht mehr nutzen?


Sent from my iPad using Tapstatur without Richtungs-Files.

 

[naich]

Ich finde auch das sollte man etwas mehr im Artikel differenzieren:
Dass Java auf Webseiten kaum Bedeutung hat, ist vollkommen klar. Und hier sollte man das Web-Plugin auch deaktivieren, weil gerade hier sonst Code ausgeführt wird, welcher unbekannt ist.

Die JRE wird von vielen Programmen benutzt, und es ist ein ganz schlechter Rat, das komplette Java etwa gleich zu deinstallieren. Des Weiteren weiß man bei Desktop-Software eher, wo man sie runtergeladen hat - es schleust sich hier nicht so einfach mal schnell Schadcode ein.

 

[abzhibilt]

http://www.youtube.com/watch?v=IfXMN3VhikA :-D

Das mit dem Elch fände ich fair

Haha, ich war nach absenden des Posts gespannt, ob noch jemanden die Simpsonsfolge einfällt

 

[gKar]

Und noch als Ergänzung: Auch in dem verlinkten Artikel rät das US-CERT eben nicht etwa von der Nutzung oder Installation von Java 7 ab, sondern empfiehlt die Deaktivierung des Browser-Plugins.
Und ja, Java-Applets in Webseiten verlieren tatsächlich an Bedeutung und bilden eine große Sicherheitslücke. Java für Desktop-Applikationen ist schon etwas mehr verbreitet (immerhin gibt's einige praktische Desktop-Tools wie SQL-Clients, LDAP-Clients etc., die dank Java plattformunabhängig angeboten werden können), die höchste Verbreitung dürfte Java aber im Serverbereich haben, z.B. für Webapplikationen. Da verliert es m.W. keineswegs an Bedeutung.