Java sigue siendo inseguro

Investigadores de Security Explorations, una empresa polaca dedicada a buscar vulnerabilidades, aseguran haber descubierto dos nuevas vulnerabilidades en Java 7 Update 11 que se pueden explotar superando la Sandbox, o caja de seguridad, del software para ejecutar código de manera arbitraria.

Hace una semana Oracle lanzaba Java 7 Update 11, una actualización de seguridad del software que permitía bloquear un exploit de Día Cero que ya estaban utilizando los ciberdelincuentes para infectar los ordenadores con malware.

Parecía que todo estaba solucionado después de varios días en los que los expertos de seguridad no hacían más que pedir a usuarios y empresas que se desactivara Java por los peligros que implicaba. Pero la paz poco duró porque unos días después Security Explorations confirmaba que la sandbox de seguridad de Java podía superarse explotando dos nuevas vulnerabilidades descubiertas por investigadores de la compañía, tan nuevas que no se había parcheado en la actualización de emergencia.

Los detalles técnicos de las vulnerabilidades descubiertas por la compañía de seguridad, que están en manos de Oracle desde el pasado viernes, no se harán públicos hasta que la compañía desarrolle los parches.

El revuelo que la grave vulnerabilidad descubierta en Java ha despertado en toda la industria, ha sido aprovechada por los ciberdelicuentes para engañar a los usuarios lanzando un parche que en realidad esconde un malware. El engaño, que fue descubierto por Trend Micro, no ha sorprendido a nadie pues suele ser habitual que los chicos malos aprovechen noticias de gran alcance para lanzar sus creaciones buscando poder engañar a alguien.

En su blog Trend Micro alertaba que si alguien se descargaba la actualización de Java falsa estaría en realidad instalando una puerta trasera en su sistema. Una vez ejecutada, esa puerta trasera se conecta con un servidor remoto que permite al atacante tomar el control del sistema infectado.