Sun behebt Sicherheitsloch in Java Virtual Machine

Die Sicherheitsspezialisten von Last Stage of Delirium (LSD), die auch den Fehler im RPC/DCOM-Dienst unter Windows entdeckten, melden auf Bugtraq eine kritische Sicherheitslücke in Suns Implementierung der Java Virtual Machine (JVM). Suns JVM bildet die Namen von Klassen intern nicht mit "." ab ("sun.some_package.some_class"), sondern mit Slashes ("/"). Durch einen Fehler im Classloader ist es möglich, beliebige Klassen nachzuladen, ohne vorher den Java Security Manager aufgerufen zu haben, wenn man als Name "sun/some_package/some_class" übergibt.

LSD hat nach eigenen Angaben Proof-of-Concept-Exploits entwickelt, die die Restriktionen der Applet-Sandbox in den Java-Plug-ins für Netscape und Mozilla komplett umgehen. Damit können nicht signierte Applets prinzipiell auf alle Ressourcen des System zugreifen. Opera und der Internet Explorer könnten ebenfalls betroffen sein, wurden aber von LSD nicht getestet.

Nach Angaben von Sun und LSD findet sich das Sicherheitsloch in folgenden Versionen:

• SDK und JRE 1.4.1_03 und frühere
• SDK und JRE 1.3.1_08 und frühere
• SDK und JRE 1.2.2_015 und frühere

für die Plattformen Windows, Solaris und Linux. Die SDK- und JRE-Versionen 1.4.2 für Windows, Solaris und Linux sind von dem Fehler nicht betroffen.

Sun wurde bereits Anfang Juni von LSD informiert und hat nun sowohl die Entwicklungsumgebung (SDK) als auch die Laufzeitumgebung (JRE) aktualisiert und neue Versionen zum Download bereitgestellt. Einen Workaround für dieses Problem gibt es ansonsten nicht, gegebenenfalls sollte man Java und die Plug-ins für die Browser deinstallieren.

Siehe dazu auch: (dab)

• Security Advisory von LSD
• Security Advisory von Sun