Oracle: Java-Update schließt drei kritische Lücken

Java-Anbieter Oracle hat - wie im Vorfeld angekündigt - in der Nacht auf heute ein weiteres Update zur Verfügung gestellt, es schließt jene Sicherheitslücken, die beim Anfang Februar veröffentlichten Notfall-Patch noch nicht gestopft werden konnten. Die Installation dieses neuerlichen 'Java-Updates' ist auch dringend empfohlen, da die geschlossenen Lücken nach Angaben von 'Oracle' (via 'Heise') die höchstmögliche Gefahrenstufe (10) aufweisen. Bei diesen drei besonders kritischen Schwachstellen (CVE-2013-1487: Deployment; CVE-2013-1486: JMX; CVE-2013-1484: Libraries) ist die Remote-Ausführung über das Netzwerk und ohne Authentifizierung möglich, das gilt allerdings auch für beiden anderen Lücken, die Oracle als nicht ganz so kritisch eingestuft hat.

Die Lücke mit der CVE-Nummer 2013-1485 wurde mit 5.0 Punkten bewertet, jene mit 2013-0169 hat laut Oracle-Wertung ein Gefahrenpotenzial von 4,3. Letztere ist auch als "Lucky 13"-Schwachstelle bekannt und betrifft SSL/TLS bzw. die Java Secure Socket Extension (JSSE).

Das aktuelle Java-Update betrifft alle Versionen zwischen 1.4 und 7. Im Fall des aktuellsten Java 7 ist es das Update 15, bei Java 6 wird es als Update 41 geführt. Die Updates sind kumulativ, das heißt, dass frühere Sicherheits-Patches inkludiert sind.

Oracle gab auch die Termine für die nächsten geplanten Sicherheits-Updates bekannt, in diesem Jahr wird es am 16. April, 18. Juni und 15. Oktober reguläre Updates geben, 2014 ist es dann am 14. Januar erstmals soweit. Übrigens sollte Java-6-Nutzer demnächst ihre Version aktualisieren, das aktuelle Update ist das letzte, das Oracle End-Nutzern kostenlos zur Verfügung stellt ('Roadmap siehe hier').

Das nun veröffentlichte Update ist das bereits zweite in diesem Monat, am 1. Februar hat Oracle einen Notfall-Patch veröffentlicht. Dieses wurde vorgezogen, weil die entsprechenden Lücken zu diesem Zeitpunkt bereits ausgenutzt worden sind.

Siehe auch: Java - Wichtiges Update wegen gefährlicher Lücken