Descubren una vulnerabilidad crítica en Java 7 horas después de que fuera parcheada
La nueva vulnerabilidad, descubierta después de haberse lanzado Java 7 Update 7, permite la ejecución remota de código sin el conocimiento del usuario.
Horas después de que Oracle lanzara por fin una actualización de seguridad para Java 7 que se estaba explotando y que afectaba a Windows y Mac, se ha descubierto otra que puede utilizarse para ejecutar código arbitrario en sistemas que tengan instalado el runtime.
La semana pasada se descubrió una vulnerabilidad en Java tan crítica que Oracle pasó por alto su programa de actualizaciones de seguridad trimestrales y lanzó un parche, sólo para que horas después se descubrieras nuevos problemas.
Java 7 Update 7 ha sido una actualización de emergencia que solucionaba tres vulnerabilidades, incluidas dos que ya se estaban explotando para infectar los ordenadores con malware. Además, soluciona un fallo que, aunque Oracle asegura que no era explotable, podría haber sido utilizado para agravar el impacto de otras vulnerabilidades.
Ha sido la empresa de seguridad Securtiy Explorations quien asegura haber descubierto dos nuevas vulnerabilidades en Java 7 que permitirían ejecutar código en los equipos afectados sin el conocimiento del usuario. Security Explorations ha dicho que mantendrá en secreto los detalles de esta nueva vulnerabilidad hasta que Oracle solucione el problema, para el que ya ha desarrollado pruebas de concepto, lo que significa que aunque la vulnerabilidad es grave, por el momento la amenaza no es grande… siempre y cuando Oracle no tarde mucho en desarrollar un parche.
Oracle se hizo cargo de Java cuando compró Sun Microsystems en abril de 2009 y ha recibido bastantes críticas por su falta de interés en solucionar algunos exploits que podrían poner en serio peligro a los usuarios de Java, lo que en la práctica es como decir a todos los usuarios de Internet. Security Explorations ha dicho también que el pasado mes de abril envió a Oracle información sobre 29 vulnerabilidades descubiertas en Java, incluidas dos que están siendo explotadas activamente por los ciberdelincuentes y que aún no han tomado medidas para solucionarlas.
Los recientes problemas de seguridad de Java no son sino una advertencia para que se tenga Java permanentemente actualizado.