Sicherheitsexperte schließt Java-Lücke auf eigene Faust

24. Oktober 2012, 11:49
  • Artikelbild
    foto: ap

Oracle vertröstet auf Patchday im Februar

Wenn ein Software-Unternehmen nicht eingreift, machen sich die User eben selbst ans Werk. Wie Heise berichtet, hat der Sicherheitsforscher Adam Gowdiak eine kritische Sicherheitslücke in Java entdeckt und einen eigenen Patch dafür entwickelt. Der polnische Sicherheitsexperte hat Ende September eine Lücke entdeckt, bei der ein im Browser ausgeführtes Java-Applet dank der Rechte des Users Schadcode platzieren kann. 

Ansporn für Oracle

Jetzt hat Gowdiak einen Patch entwickelt, das schreibt er auf der Sicherheits-Malingliste Full Disclosure. Veröffentlicht wird der Patch allerdings nicht, da sonst die konkreten Details zu der Lücke bekannt werden würden, was ein Sicherheitsrisiko darstellt. Durch Gowdiaks Entdeckung soll vor allem Oracle motiviert werden, einen eigenen Fix zu veröffentlichen. 

Keine Details

Oracle hat zum Oktober-Patchday keinen Patch für die Lücke mehr geschafft, sagt Gowdiak aber, dass ein Patch für Februar 2013 geplant sei. Nach Gowdiaks Angaben hat der Patch lediglich 25 Zeilen Code, der Entwickler hat eine halbe Stunde Aufwand dafür betrieben. Heise schreibt, dass Oracle vermutlich keinen Grund in einer raschen Behebung der Sicherheitslücke sieht, da keine Details über die Lücke bekannt sind. (red, derStandard.at, 24.10.2012)

Links:

Java

Oracle

Heise

derStandard.at/Web auf Facebook
Kommentar posten
4 Postings

unfassbar die dreistigkeit dieser firma, eigentlich sollte der entdecker der lücke jetzt die schwachstelle dokumentieren und (mit wenigen tagen vorwarnung an oracle) veröffentlichen.

das mit der vorwarnung nehme ich zurück, offenbar ist oracle bereits seit 25.9. in kenntnis gesetzt - mehr als genug zeit um darauf zu reagieren! die meisten browserhersteller schaffen es mittlerweile ja auch sicherheitsrelevante patches innerhalb von stunden zu fixen und auszurollen

Sicherheitsexperte schließt Java-Lücke auf eigene Faust.

Java gehört wie Flash endlich mal vom Altballast entrümpelt! Außerdem sollen OS Hersteller Java besser unterstützen müssen!

Kann nicht sein, daß im 21. Jahrhundert manche großen Hersteller noch so aufführen, wie noch zur Mitte des 20. Jahrhundert!

60 Jahre IT haben gezeigt, daß an offenen Dokumentenstandards und OpenSource kein Weg vorbei führen darf! Alles andere ist ein künstlicher technologischer Rückschritt!

Bzgl Applets (und natürlich Flash!) kan ich mich Ihnen vor voll anschließen.

Im EE Bereich ist Java noch immer sehr verbreitet.
Zum Glück sind auch hier in den letzten Jahren einige Aletrnativen entstanden, denn die Vorgehensweise von Oracle ist hier skandalös.

There goes the Sun...

Die Kommentare von Usern und Userinnen geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Der/Die Benutzer/in kann diesfalls keine Ansprüche stellen. Weiters behält sich die derStandard.at GmbH vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.