Es handelt sich um eine Schwachstelle, das Oracle eigentlich schon 2013 gestopft hat. Allerdings ist der Patch unvollständig und erlaubt weiterhin einen Sandbox-Bypass. Betroffen sind die Versionen 7 Update 87 und 8 Update 74, aber auch aktuelle Builds von Java 9.

Im konkreten Fall handelt es sich um eine Schwachstelle, die Oracle im September 2013 bereits geschlossen hatte. Der Patch soll allerdings unwirksam sein. Als Folge kann offenbar Code außerhalb der Java-Sandbox ausgeführt werden. Entsprechende Details zu der Zero-Day-Lücke in Java SE hat jetzt Adam Gowdiak, Chef des polnischen Sicherheitsanbieters Security Explorations, veröffentlicht.

^[1]

Gowdiak schreibt in einem Eintrag auf Full Disclosure ^[2]: „Wir haben herausgefunden, dass sich der Oracle-Patch leicht umgehen lässt“. Dafür müssten lediglich vier Zeichen des ursprünglich im Oktober 2013 veröffentlichten Angriffscodes geändert werden. Zudem müsse ein HTTP-Server dazu gebracht werden, auf eine erste Anfrage nach einer bestimmten Java-Klasse mit einer „404 (nicht gefunden)“-Fehlermeldung zu reagieren.

Den aktualisierten Angriffscode ^[3] bietet Security Explorations ebenso zum Download an wie eine detaillierte Beschreibung der Sicherheitslücke ^[4] (PDF).

Getestet wurde er mit Java SE 7 Update 97, Java SE 8 Update 74 und auch dem Early Access Build 108 von Java SE 9. Gowdiak weist allerdings darauf hin, dass die Click2Play-Funktion, die vor der Ausführung von Java-Applets die Zustimmung eines Nutzers einholt, nicht beeinträchtigt ist.

Oracle hat das Unternehmen vorab nicht über den fehlerhaften Patch informiert. Als Grund dafür nennt es eine neue Richtlinie für die Veröffentlichung von Sicherheitslücken. „Defekte Fixes werden nicht mehr toleriert. Wenn wir auf einen kaputten Fix für eine Anfälligkeit treffen, die wir bereits dem Hersteller gemeldet haben, wird sie ohne Vorankündigung öffentlich gemacht“, so Gowdiak weiter.

Darüber hinaus kritisiert Gowdiak Oracles Bewertung der Schwachstelle. Das Unternehmen habe im Oktober 2013 unterstellt, dass die Lücke mit der Kennung CVE-2013-5838 nur mithilfe von Java-Web-Start-Anwendungen und Java-Applets ausgenutzt werden könne. „Wir haben bestätigt, dass ein Exploit auch in einer Serverumgebung sowie mit der Google ^[5] App Engine für Java möglich ist.“

Security Explorations macht schon seit Anfang 2012 ^[6] auf Sicherheitslücken in Java aufmerksam. Das Unternehmen wirft Oracle zudem vor, Patches nicht zeitnah zur Verfügung zu stellen. Bei einer Präsentation auf der JavaLand-Konferenz in Brühl ^[7] (PDF) in der vergangenen berichtete er von einem im September 2012 gemeldeten Fehler, den Oracle erst im Januar 2013 behoben habe. Dabei habe das Unternehmen lediglich den von Security Explorations vorgeschlagenen Fix implementiert.

[Mit Material von Stefan Beiersmann, ZDNet.de ^[8]]