• Tweet

Atacantes han publicado nuevo código malicioso aprovechando dos fallas dentro del Entorno de Ejecución de Java (Java Runtime Environment, JRE) y del Kit de Desarrollo Java (SDK) de Sun Microsystems que fueron corregidas desde el año pasado.

Estas fallas podrían haber permitido que un atacante ejecutara de forma remota código sobre un equipo de cómputo con sistema operativo Windows, Linux o Solaris. Cabe mencionar que Sun publicó las actualizaciones para ambas vulnerabilidades desde el pasado mes de Diciembre.

Por otra parte, la primera falla radia en que un componente del JRE permite ejecutar código JavaScript, mismo que se podría ejecutar sobre diversos sistemas operativos tales como Mac OS, Unix y los mismos mencionados con anterioridad.

Las vulnerabilidades afectan a las versiones 1.3.x, 1.4.x y 1.5.x del JRE, así como también sobre las versiones 1.3.x, 1.4.x y 1.5.x del SDK de Java.

La firma de seguridad Secunia califica a una de estas vulnerabilidades como 'Altamente Crítica', mientras que la otra la califica de segundo más alto nivel ya que permite la posibilidad de ejecutar código remoto.

Eric Sites, vicepresidente de investigaciones y desarrollo de la compañía Sunbelt, dijo que aunque los exploits fueron diseñados para explotar sobre vulnerabilidades en Java, estos no son comunes, pero aun así, se prevé el aumento de estos.

Por otra parte, Eric Sites menciona que “Sun ha sido muy consciente y severo en sus investigaciones además también de como se implementan sus cosas y que tan rápido se implementan”.

Sites puntualizó que Java es en si inherentemente un sistema seguro, por que el JRE utiliza llamadas y métodos que permiten operarse a esta como una máquina virtual para permitir el acceso a otras partes de un sistema.

También Sites advirtió, que como los desarrolladores de aplicaciones de JavaScript necesitan más recursos y capacidades, estos en caso de sistemas operativos Windows, realzan llamadas a archivos .dll más a menudo.

Por último, Sites menciona que estos últimos exploits son de particular preocupación, así como el código que podría estar embebido dentro de una pequeña aplicación en Java que por ejemplo podría ejecutar una ventana de navegación y así de forma deliberada poder ejecutar y cargar código malicioso de forma rápida