Oracle Kellen mehr Pflaster über fehlerhafte Java-Browser-Plugin

Oracle hat eine seltene Notfall-Patch, um zwei Schwachstellen im Java-Plugin adressieren für Web-Browser, dass die Firma sagt, werden aktiv ausgenutzt ausgegeben.

"Aufgrund der Schwere dieser Schwachstellen und den gemeldeten Ausbeutung von CVE-2013-1493" in the wild "Oracle empfiehlt, dass Kunden die Updates von diesem Security Alert vorgesehen so bald wie möglich", teilte das Unternehmen mit.



Die Exploits wurden zunächst am Freitag von Sicherheitsfirma FireEye, die alle sechs Java-Benutzer, die noch nicht das Plugin im Browser deaktiviert dies unverzüglich zu tun forderte berichtet.

Die Java-Web-Plugin wurde unter wiederholter Angriff über eine Reihe von Schwachstellen, die in den letzten Monaten ausgesetzt wurden, beginnend mit einem Fehler von FireEye im August 2012 entdeckt kommen.

Oracle, sagte der Schwachstelle derzeit unter Beschuss, es wurde am 1. Februar dieses Jahres, die zu spät für die Datenbank Riese einen Fix in seiner regelmäßigen Critical Patch Update am 19. Februar gehören berichtet wurde.

Die nächste Critical Patch Update ist nicht geplant, bis zum 16. April ankommen, aber Oracle sagt, die Tatsache, dass Live-Exploits entdeckt wurden aufgefordert es eine Lösung für dieses Manko und eine andere, verwandte bug außerhalb seines normalen Patch Zeitplan erteilen.

Das letzte Mal, Oracle habe etwas ähnliches war so aktuell wie am 4. Februar, wenn die Gesellschaft stürzte ein Update, das rund 50 Mängel angesprochen.

Oracle sagte, beide Schwachstellen, die von dem neuen Patch ging es um die 2D-Grafik-Komponente von Java SE angesprochen, und dass beide über ein Netzwerk könnte, ohne die Notwendigkeit für einen Benutzernamen und ein Passwort genutzt werden.

Die Firma sagt, dass, wie andere neuere Java-Exploits, diese strikt auf Java läuft in einem Browser-Fenster, und dass Java-Anwendungen auf Desktops oder Server sind nicht anfällig begrenzt.

Oracle Eric Maurice ferner fest, dass die neueste Java Update der Software Sicherheitseinstellungen auf "Hoch", die Nutzer ausdrücklich ermächtigen, keine Applets, die nicht signiert sind oder die haben selbst signiert erfordert eingeschaltet.

"Als Ergebnis ahnungslose Nutzer Besuch bösartiger Websites benachrichtigt werden, bevor ein Applet ausgeführt werden und die Möglichkeit, die Ausführung der potenziell bösartigen Applet leugnen zu gewinnen", sagte Maurice und riet Benutzer nur genehmigen, Applets, die sie kennen und deren Ursprünge, denen sie vertrauen.

Oder, wie bereits erwähnt, konnten sie einfach loswerden, dass buggy Plugin überhaupt. Nicht weniger als das US Department of Homeland Security hat empfohlen, dass Benutzer das Java-Plugin deaktivieren ", wenn es absolut notwendig ist", während einige Sicherheitsexperten spekuliert haben, dass es vielleicht Oracle nehmen "noch zwei Jahre", um alle Löcher, die derzeit existieren stecken in der Technik.

Die aktuellsten Patches zu bringen Java-Version Zahlen bis Java 6 Update 43 und Java 7 Update 17.