Nuevo ataque zero-day sobre Java

Los investigadores han destapado otra nueva vulnerabilidad tipo «zero-day» sobre Java, actualmente está siendo explotada por atacantes y no hay remedio a la vista.

Si se consigue aprovechar la vulnerabilidad, permite ejecutar operaciones de lectura-escritura arbitrarias sobre la JVM o Java Virtual Machine. Como epxlican expertos de FireEye, si es satisfactorio, el ataque descarga un dropper «McRat» que trae consigo un troyano que se instala en el pc de la víctima.

El laboratorio ha aclarado que los ataques han tenido éxito en algunos equipos cuyo navegador tiene activado el plugin de Java. Afecta las versiones: 1.6 update 41 y la última, Java 1.7 update 15, lanzada el 19 de Febrero. Los investigadores ya han comunicado la noticia a Oracle, que deberá sacar otro parche (CVE-2013-1493). Por parte de Oracle no hay más información, hasta el momento.

Muchas vulnerabilidades en Java

Como han constatado los investigadores, se trata del enésimo ataque contra esta plataforma. A pesar de que java ha sido tradicionalmente un objetivo preferente, los dos últimos meses han sido de una actividad aún más intensa.  Continuos ataques tipo zero-day (es decir, representan amenazas desconocidas hasta el momento) se han ido sucediendo uno tras otro, teniendo que ser solucionados en un juego del «gato y el ratón» que no tiene fin.

Oracle, una compañía bien conocida por no proporcionar parches fuera de su calendario marcado, se ha visto obligada a desarrollar y publicar parches urgentes ante ataques tan serios. Como decimos, el 19 de Febrero se publicó el último parche de emergencia y, sin embargo, ya descontamos días para recibir una nueva actualización.

Desactivar o limitar Java

Si estamos cansados de estos interminable problemas y podemos prescindir de Java, podemos desactivarlo en nuestro navegador. Para ello desactivaremos el «plugin» correspondiente a Java.

Si somos de los muchos, muchos, que necesitan Java para desarrollar parte de su trabajo o estudios, podemos hacer lo siguiente: Desactivaremos Java en nuestro navegador web principal. De hecho nuestro navegador de mayor uso no debería contener nada relacionado con Java.

Como seguramente tengamos algún otro navegador instalado (casi olvidado) como por ejemplo el que viene con las instalaciones de Windows 7  (IE8) podremos activarlo ahí. Lo que tenemos que tener en cuenta y es lo más importante: en este navegador solamente desarrollaremos acciones específicas que requieran esta aplicación. Nunca otro tipo de navegación.