News Schwere Sicherheitslücke in Oracle Java 7

[Arikus]

Habe das Update installiert, jetzt meldet sich bei jedem Start von Firefox folgendes Fenster:


Haken setzen bringt nichts.

 

[purzelbär]

na toll.... dann war das 11er Update nur Zufall

Sagt mal, ich habe noch beim Firefox 18 unter Plugin ein sogenanntes "Java Deployment Toolkit 7.0.100.18" drin, obwohl ich Java komplett deinstalliert habe! Was ist das denn für ein teil, wo kommt das Ding her?

Du hättest Java gar nicht deinstallieren brauchen, sondern nur deaktivieren so wie ich es auch gemacht habe. Und im FF bei Extras/AddOns ist nix mehr drin von Java und im IE deaktiviert. Siehste ja auf den 2 Bildern:

 

[Elkinator]

So behindert... man kann das update nicht herunterladen, wenn java-script in opera deaktiviert ist O.o

wozu deaktiviert man das?

Ergänzung (14. Januar 2013)

komisch, ich installiere die updates immer nur drüber und das passiert nicht:O

 

[JuggernautX]

purzelbär, guck dir mal meinen Post #260

die Version 7u10 habe ich deshalb erst mal deinstalliert, bevor ich 7u11 installiere. Vielleicht installiere ich es aber auch gar nicht, da die Lücke ja immer noch vorhanden sein soll...

Zitat: Butter bdf
http://www.reuters.com/article/2013/01/13/us-java-oracle-security-idUSBRE90C0JB20130113

 

[Smagjus]

Das ist mir bei Java Installationen auch schon aufgefallen und sauer aufgestoßen, habe irgendwann in der Systemsteuerung/Programme und Funktionen:

Java 6 Update 10
Java 7 Update 8
Jave 7 Update 9

usw.... ätzend, Java will also immer deinstalliert werden, vorm Update.

Das macht durchaus Sinn, weil Javaprogramme leider ab und zu die Eigenschaft aufzeigen, dass diese nur mit einem beschränktem Kreis an Javaversionen kompatibel sind.

 

[JuggernautX]

naja, das habe ich aber noch niemals bei anderen Progs gesehen.... dann haste irgendwann mal die ganze Chronologie auf der Platte

 

[Rhoxx]

wozu deaktiviert man das?

Ergänzung (14. Januar 2013)

komisch, ich installiere die updates immer nur drüber und das passiert nicht:O

Damit man beim Surfen nicht auf einer falschen Seite sich irgendwas einfängt.
Vertraute Seiten ist eine Sache - aber diese verlinken oft auf Werbeseiten, welche einen schädlichen Code haben könnten.

 

[purzelbär]

purzelbär, guck dir mal meinen Post #260

die Version 7u10 habe ich deshalb erst mal deinstalliert, bevor ich 7u11 installiere. Vielleicht installiere ich es aber auch gar nicht, da die Lücke ja immer noch vorhanden sein soll...

Zitat: Butter bdf
http://www.reuters.com/article/2013/01/13/us-java-oracle-security-idUSBRE90C0JB20130113

Hab ich gesehenich hab vor einigen Wochen Java 6 deinstalliert aber Java 7 gelassen und vorgestern glaub ich war es das mit dem deaktivieren im Java Control Panel gemacht was ich dir ja gezeigt habe. Heute hab ich dann das 11er Update installiert und die Einstellungen im Control Panel so gelassen wie ich das gemacht hatte(deaktivieren dort)und was ist? keine Probleme auf'm System

 

[green-e]

Warum sollte man Java auf dem System lassen, wenn man es nicht benötigt? Nenne das Verschwendung von Ressourcen, zumal immer wieder von Sicherheitsrisiken gewarnt wird.

 

[Elkinator]

Damit man beim Surfen nicht auf einer falschen Seite sich irgendwas einfängt.
Vertraute Seiten ist eine Sache - aber diese verlinken oft auf Werbeseiten, welche einen schädlichen Code haben könnten.

da besteht aber auch mit aktiviertem javascript keine gefahr.

 

[Teiby]

Hab eine Updatemeldung bekommen und bestätigt. Dann kam die Meldung, das ich bereits die aktuellste hab. Dachte mir, das kann nicht sein, da noch nichts installiert wurde. Also nachgeschaut und welche Version? 7.9

Also Update manuell im Internet runtergeladen und installiert und das geht nun. Aber die Ask Toolbar muss nicht sein oder? Haben die keine anderen Einnahmequellen?

 

[DerOlf]

Noch ein kurzer Nachtrag zur Sygate Diskussion.

Eine Schadsoftware kann emien FW ruhig "aushebeln", solange der Schadcode Ersteler Dumm genug war, die FW einfach "auszuschalten".
In dem Fall kommt dann überhaupt kein Datenpaket mehr raus, weil ich die FW so eingestellt habe, dass die LAN-Ports nur dann aktiv sind, wenn sie auch aktiv ist.

Welche moderne FW bietet sowas?

 

[Rhoxx]

da besteht aber auch mit aktiviertem javascript keine gefahr.

Ok... und um was machen die dann so einen hype? Wozu deaktivieren die das dann in Firefox?
Damit applets nicht auf seiten ausgeführt werden? oh man ... auch blöd ... Trotdzem find ich, sollten downloads direkt also per html angeboen werden und nicht per java-script ...

 

[Ragna-Dracaena]

Was ist wen man Java ausschliesslich über Chrome benutzt (ist dort installier) wie krieg ich das geupdated oder muss ich auf google warten?=

 

[grenn]

Das Update scheint wohl nicht zu helfen http://www.computerbild.de/artikel/...Sicherheitsluecke-besteht-weiter-8050515.html

 

[Madman1209]

Hi,

@grenn

Danke für die Infos. Der weiterführende Link (Homeland Security) führt dann folgendes aus:

Oracle Security Alert CVE-2013-0422 states that Java 7 Update 11 addresses this (CVE-2013-0422) and an equally severe, but distinct vulnerability (CVE-2012-3174). Immunity has indicated that only the reflection vulnerability has been fixed and that the JMX MBean vulnerability remains. Java 7u11 sets the default Java security settings to "High" so that users will be prompted before running unsigned or self-signed Java applets.

Unless it is absolutely necessary to run Java in web browsers, disable it as described below, even after updating to 7u11. This will help mitigate other Java vulnerabilities that may be discovered in the future.

Ich denke, das spricht eine eindeutige Sprache, was man vom Java-Plugin und der "qualifizierten Hilfe" durch Oracle erwarten kann.

VG,
Mad

 

[Butter_b.d.F.]

Dass das nichts wird, wurde schon vorgestern laut.
Wie ist das eigentlich mit dieser Plugin-Schwäche bei Browsern - ist davon auch eine mit dem Internet kommunizierende und das Java Runtime Environment nutzende Software á la MediathekView betroffen?

 

[vander]

...
Wie ist das eigentlich mit dieser Plugin-Schwäche bei Browsern - ...

IMO ist es unwarscheinlich das Java basierte Software betroffen ist. Diese Software wird von Java "nur" ausgeführt und lädt für gewöhnlich keine Schadcodes nach, so wie es bei dem Webapplet der Fall sein dürfte.

Wird alles sehr hoch gekocht mal wieder... Es ist ja nicht so das jede Website nun eine bedrohung ist. Wer nur auf bekannten Seiten unterwegs ist ...

Haha, dem ist leider nicht ganz so. Mann kann sich leider nicht immer aussuchen auf welchen Seiten man unterwegs ist. Es gibt diverse Tricks um den Browser eine bestimmte Webseite öffnen zu lassen, das kann durch externe Programme passieren die den Browser aufrufen oder durch versteckte Weiterleitungen auf Webseiten.
So oder so sind in den letzten Jahren auch immer wieder renommierte Webseiten verseucht worden.

Wer meint, er könnte so mirnichts dirnichts irgendwas auf meinem PC anrichten, der darf es gerne mal versuchen ... viel spass.
...

Ich würde sagen, dein Sicherheitslevel ist höher als das Interesse an deinen Daten, das ist alles.
Theoretisch könnte es auch sein das du schon gehackt wurdest, was denkst du wohl woran du einen erfolgreichen Hack bemerken würdest? Das Problem der heutigen Systeme ist ihre Komlexität, das ist von normalen Usern nicht mehr zu überschauen.
Selbst Profis brauchen da einige Zeit. Spionageprogramm "Roter Oktober"

EDIT
Das sagt Opera seit dem Javaupdate.
Java(TM) Platform SE 7 U11 - 10.11.2.21
Beschreibung: Next Generation Java Plug-in 10.11.2 for Mozilla browsers
C:\Programme\Java\jre7\bin\plugin2\npjp2.dll

 

[Butter_b.d.F.]

IMO ist es unwarscheinlich das Java basierte Software betroffen ist. Diese Software wird von Java "nur" ausgeführt und lädt für gewöhnlich keine Schadcodes nach, so wie es bei dem Webapplet der Fall sein dürfte.

MediathekView läd von sich aus sicherlich keinen Schadcode, ich dachte da eher daran, dass es vielleicht dazu (als gut frequentierte Software) missbraucht werden könnte. Z.b. in dem es Schadcode direkt aus einer Mediathek bezieht, was bezüglich "Schadcode in Mediathek" (á la Schadcode in Webseiten) schon vorgekommen sein soll.

 

[vander]

Bei einem Java basierten Programm das Daten aus dem Web nachlädt wäre so etwas denkbar. Ich denke die einfachste Informationsquelle hierzu ist der Entwickler des Programms, also einfach mal ne Mail schreiben.