El título tal vez necesite las palabras “otra vez”, porque hasta aquí parece una secuela de lo que sucedió en agosto de 2012. Lamentablemente, la plataforma Java ha comenzado el año con una nueva vulnerabilidad “0-day” que ya está siendo “explotada” a través de la Web. A pesar de que el nuevo bug fue identificado sobre la última versión disponible del paquete, algunos portales de seguridad indican que también afecta a builds previos. Hasta que Oracle no active sus mecanismos para corregir el error, la recomendación es deshabilitar o desinstalar Java del sistema.
-
-
Cualquier discusión sobre rendimiento o conveniencia de una plataforma queda automáticamente de lado cuando la seguridad toma el primer plano. En el caso de Java, uno de sus últimos incidentes fue a finales de agosto de 2012, cuando una vulnerabilidad 0-day afectó a la versión 1.7.0.6, también conocida como “7 update 6”. Menos de cinco meses después, Java vuelve a ser el foco de atención, y por la misma razón que en aquel entonces. Sin embargo, se ha establecido que esta vulnerabilidad es mucho más peligrosa, porque ya está siendo utilizada por “paquetes de exploits” disponibles en la Web, entre los que se destacan “Blackhole” y “Nuclear Pack” (que presentaron al exploit como “regalo de Año Nuevo”).
AlienVault Labs usó el exploit para ejecutar la Calculadora, pero puede ser algo peor...
Fuente: The Next WebEl código asignado a esta nueva vulnerabilidad 0-day de Java es CVE-2013-0422, reportada originalmente en el blog “Malware don’t need Coffee”. Aunque el responsable del anuncio indica que la vulnerabilidad parece ser exclusiva de la versión 7 update 10, el US-CERT (US Computer Emergency Readiness Team) publicó que las versiones afectadas son “7 update 10 y anteriores”. La vulnerabilidad cae en la categoría de ejecución remota de código: A través de una página especialmente diseñada por el atacante, un usuario puede habilitar la ejecución remota de código sin su conocimiento. La vulnerabilidad fue puesta a prueba por AlienVault Labs, y en su demostración lograron iniciar la Calculadora de Windows.
Una vez más, las acciones que puede tomar el usuario final son dos: Deshabilitar Java o quitarlo del ordenador, independientemente del navegador y el sistema operativo. A los métodos que mencionamos en el artículo anterior también se suma la posibilidad de deshabilitar el contenido Java en un navegador, a través del panel de control de Java, en la pestaña “Seguridad”. De todos modos, creo que no vale la pena el riesgo. Es evidente que las fallas en el “control de calidad” de Java se están haciendo cada vez más serias. En lo personal he retirado por completo a Java de mis ordenadores, y aunque confío en que Oracle va a corregir el problema, la sensación que se ha instalado es que va a suceder de nuevo. Espero equivocarme. -
¿Y tú, qué opinas?
-
#1Joaquín viernes, 11 de enero de 2013, 06:52
El problema es que cuanto más crece un software más crecen sus potenciales vulnerabilidades. Aunque yo, más que por indignarme con el "control de calidad" de Oracle, desde aquí expreso mis peores deseos contra esta gente que se dedica a buscar y explotar las vulnerabilidades. Os deseo mucho infortunio en la vida.
-
#2Pentester viernes, 11 de enero de 2013, 08:03
#1 Por qué me deseas el mal? A mi me pagan por encontrar estas vulnerabilidades, para que Uds los usuarios, se encuentren mas seguros de atacantes no éticos.
En todo campo existen los "buenos y los malos", policía bueno, policía malo, abogado bueno, abogado malo. -
#3
-
#4
-
#5
-
#6Federico viernes, 11 de enero de 2013, 14:25
#5 Google Reader usa Java? Creo que no... Seguro que sí usa Javascript, que no es lo mismo...
-
#7
-
#8
-
#9
-
#10
-
#11
-
#12
-
#13
-
#14
-
#15Yamir Ortega sábado, 12 de enero de 2013, 03:18
#9 No estimado, la falla a la que se refieren es al plugin de java que se instala en los navegadores, no asi al java que se utiliza para programar ni mucho menos a las aplicaciones java en servidores, los medios han sido bien amarillistas para alarmar, el problema es el plugin que sirve para que los applets corran en un navegador.
-
#16markissmuzzo sábado, 12 de enero de 2013, 03:26
Que sensacionalismo... no me gusta java en absoluto, pero el titulo del articulo es exagerado... para que pase algo tenes que entrar a una pagina exclusivamente diseñada para bla bla bla... dejense de joder..
-
#17
-
#18
-
#19
alotech23 lunes, 14 de enero de 2013, 14:36Java 7 Update 11 ver. 7.0.110 esperemos ques esta ya este corregida...
-
#20
-
Cargando...
-
nuevo comentario
Nombre Campo obligatorio
Email Escriba una dirección de correo electrónico con el formato sunombre@ejemplo.com.
Campo obligatorio
-
