Mozilla und Apple blockieren Java-Plugin im Browser

In dieser Woche wurde eine weitere kritische Sicherheitslücke, für die bisher noch kein Update von Oracle vorliegt, in Java-Version 7 Update 10 gefunden. Darauf haben Apple und Mozilla nun reagiert und die Plugins deaktiviert. Im Fall der Firefox-Entwickler von Mozilla wird ab der Version 17 des hauseigenen Browsers plattformübergreifend das Java-Plugin automatisch deaktiviert. Besucht man eine Webseite, die ein Java-Applet starten möchte, so werden die Nutzer vor die Wahl gestellt: Soll das Plugin für diese Sitzung oder allgemein wieder aktiviert werden.

Siehe auch: Microsoft über Java: Aktualisieren oder entfernen

Unter Mac OS X handhabt Apple diesen Sachverhalt anders. Bei den Apple-Betriebssystemen wird auf eine Plugin-Blacklist, auf der sich untersagte beziehungsweise unerwünschte Plugins samt der zugehörigen Versionsnummer einfinden, gesetzt. Als Mindestvoraussetzung findet sich an dieser Stelle eine Version ein, die noch gar nicht veröffentlicht wurde.

Aus gegebenem Anlass hat sich das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu diesem Thema geäußert. Java sollte von allen Systemen deinstalliert werden, sofern diese Technologie nicht unbedingt vorhanden sein muss. Sollte Java außerhalb der Browser verwendet werden, so ist es ratsam, das Browser-Plugin zu deaktivieren. Wie sich dies bei den verschiedenen Browsern in die Tat umsetzen lässt, erklärt das BSI auf der offiziellen Webseite. Überdies hat auch das U.S. Computer Emergency Readiness Team (US-CERT) eine vergleichbare Warnmeldung veröffentlicht.

Über eine Mailingliste hat sich der Chef von den Sicherheitsforschern aus dem Hause Security Explorations, Adam Gowdiak, zu dieser kritischen Lücke zu Wort gemeldet. In seinen Augen hätte man die aktuellen Umstände durchaus im Vorfeld vermeiden können. Zu diesem Zweck hätte eine von seinem Unternehmen an Oracle gemeldete Sicherheitslücke korrekt geschlossen werden müssen. Dem sind die Entwickler von Java nicht im vollen Umfang nachgekommen.

Die besagte Java-Schwachstelle ist unter anderem als kritisch anzusehen, da sie bereits in diverse Exploit-Kits eingepflegt wurde und schon aktiv ausgenutzt wird. Wann Oracle ein entsprechendes Update zur Verfügung stellen wird, ist zur Stunde noch ungewiss.