Ongepatcht lek in Java 7 wordt actief misbruikt

Een nog niet gedicht beveiligingslek in Java 7 blijkt niet alleen Windows-systemen te kunnen besmetten, ook Linux en OS X blijken kwetsbaar. Bovendien zou misbruik van het lek door middel van exploits langzaam maar zeker toenemen.

De kwetsbaarheid in Java komt voor in JRE 1.7 met updateversie 0 tot en met 6; JRE 1.6 blijkt het lek niet te bevatten. Code voor een exploit van het gat in de Java 1.7-runtimes is al opgenomen in Metasploit, een veelgebruikte toolkit voor het opsporen van beveiligingsgaten. Uit een test van Errata Security blijkt dat niet alleen Windows-systemen met de desbetreffende Java-versie kwetsbaar zijn, maar dat ook systemen die op Linux of OS X draaien via diverse browsers aangevallen kunnen worden.

Omdat Oracle nog geen patch heeft aangekondigd om de kwetsbaarheid te verhelpen en de eerstvolgende update van Java 7 pas voor 16 oktober is gepland, raden beveiligingsonderzoekers aan om Java-plug-ins in browsers voorlopig uit te schakelen. Cybercriminelen zouden de exploit inmiddels actief misbruiken om computers te kraken, onder meer omdat de benodigde code is opgenomen in de exploitbibliotheek van de Blackhole Exploit Kit.