Sicherheitslücke im Sun Java

[Vincinzerei]

Durch einen Fehler in Suns Java Plug-ins für Browser können Angreifer mit präparierten Java Applets aus der Sandbox ausbrechen und die Kontrolle über den Rechner erlangen. Nach Angaben des Sicherheitsdienstleisters iDEFENSE liegt das Problem in der Zugriffsbeschränkung beim Datenaustausch zwischen Java und Javascript in Webbrowsern, die Suns Technik einsetzen. Die Schwachstelle erlaubt Javascripts, private Klassen zu laden, auf die eigentlich nur die Virtual Machine Zugriff haben sollte. Auch ein Java Applet darf diese Klassen nur laden, wenn es digital signiert ist und der Anwender den Zugriff erlaubt.  

Nutzt ein Applet diese Lücke aus, kann es sämtliche Restriktionen der Sandbox umgehen und weitere beliebige Dateien auf das System nachladen und im Kontext des angemeldeten Anwenders ausführen. Auch der Netzwerkzugriff ist mit dieser Schwachstelle möglich. Voraussetzung ist allerdings, dass ein Anwender in seinem Browser eine manipulierte Webseite öffnet. iDEFENSE weist in seinem Advisory darauf hin, dass es möglich sei, einen Betriebssystem-übergreifenden Exploit zu programmieren.

Die Fehler findet sich in der Java 2 Platform, Standard Edition (J2SE) in allen Versionen vor 1.4.2_06. Browser wie der Internet Explorer, Mozilla und Firefox sind sowohl unter Windows als auch unter Unix angreifbar, wenn sie eine betroffene Virtual Machine verwenden. Sun hat den Fehler in der per Download verfügbaren J2SE 1.4.2_06 behoben. Alternativ schützt das Abschalten von Java und Javascript vor solchen Angriffen.

Microsofts Virtual Machine ist nicht von dem Problem betroffen.<----- Wundert mich zwar aber ok.. auch ein blindes Huhn..  

[Mahjong]

Hallo Vince,

wie immer bei deinen Beiträgen fehlt mir eine Quellenangabe und Links, wo man mehr Infos findet

Microsofts Virtual Machine ist nicht von dem Problem betroffen.<----- Wundert mich zwar aber ok.. auch ein blindes Huhn..  

Wird wohl daran liegen, dass die Virtual Machine von MS schon "etwas" älter ist, und das ein oder andere Feature noch gar nicht hat.

[eldooderino]

Infos gibts u.a. auf www.heise.de

Achja, und obwohl Java-Plugins Opera-Nutzer nicht betreffen, hat auch Opera Sicherheitsprobleme in der Java-Implementierung (wobei das Problem in der neue Version 7.6 behoben werden soll, liegt aber z.Z. nur als Preview vor)...

[Vincinzerei]

Grundsätzlich lassen sich meine Infos leicht nachprüfen da sie nicht nur auf einer news Website stehen

zu sehen auf
www.heise.de
www.securityfocus.com
news.com.com
www.techweb.com

um nur einige zu nennen... dadurch das ich das Hauptberuflich mache, kannst du davon ausgehen das die Nachrichten die ich hier reinschreibe entweder brandaktuell oder aber so sind das mind 800 User das Problem haben

die ~800 User sind aber nicht eine Statistische Größe
da darunter folgende Betriebe fallen:

Voest Alpine
Manga Stahl
T-Mobile Österreich
T-Mobile England
Palfinger Kransysteme
VA Tech
BP
OMV
Interspar
Intersport
Wirtschaftskammer Österreich
Krankenhausgesellschaft Burgenland
Krankenhausgesellschaft Steiermark
A-Trust
Raiffeisen
Bank Austria Creditanstalt
Mc Donalds
und noch ein paar kleinbetriebe.. wie Merzedes und Ford

Also WENN es einen Virus, einen Bug, ein Problem oder sonst irgendwas gibt kann ich mit 100% Wahrscheinlichkeit davon ausgehen das ihn eine ganze gruppe von leuten aus diesen Firmen hat..

nur um das mal gesagt zu haben...