(Otra) Vulnerabilidad crítica en JAVA

Se ha publicado una nueva vulnerabilidad en Java y al parecer afecta a todas las versiones actuales y por lo tanto pone en peligro a cerca de mil millones de usuarios.

Por ahora sólo son pruebas de concepto (PoC) pero se ha publicado en la lista Full Disclosure Seclist por Security Explorations y en su descripción se menciona un fallo de seguridad crítico en:

• Java SE 5 Update 22 (build 1.5.0_22-b03)
• Java SE 6 Update 35 (build 1.6.0_35-b10)
• Java SE 7 Update 7 (build 1.7.0_07-b10)

Este error se debe a una discrepancia en la forma en que la máquina virtual de Java maneja los distintos tipos de datos definidos y viola una restricción de seguridad fundamental en el entorno de ejecución Java, lo que permite saltear de forma completa el sandbox de Java.

Las pruebas se han realizado sobre un Windows 7 - 32 bits totalmente parcheado y se pudo explotar el bug usando el plugin de Java en las últimas versiones de los navegadores más populares (Internet Explorer, Firefox, Chrome, Safari y Opera). Como la vulnerabilidad está en el plugin de Java, esto significa que afectará a cualquier sistema ya sea Windows, Linux, Mac o Solaris.

En una entrevista con ComputerWorld, se explicó que se trata de una nueva falla en Java que permite leer y modificar los datos del sistema con los privilegios del usuario actual.

Cristian de la Redacción de Segu-Info

Suscríbete a nuestro Boletín