Un nuevo hueco de seguridad en el software Java de Oracle afecta a la web al ser añadido a los kits de software malicioso comerciales, advierten analistas de seguridad.

El analista y escritor de un blog, Brian Krebs, dijo  que el responsable del kit de ataques de navegador Blackhole, “Paunch”, anunció ayer en foros alternos que el exploit día cero de Java fue agregado a su kit malicioso.

El proveedor del paquete competidor de software malicioso, llamado Nuclear anunció poco después que el exploit había sido agregado también a su kit, según Krebs.

Según Kafeine, quien está detrás del  blog Malware no necesita café y quien fue el primero en reportar la falla, el exploit de día cero se encuentra libre y actualmente es usado “masivamente” .

Además, el exploit de día cero fue agregado a los productos de software malicioso Cool y Redkit  también, según Kafeine.

Kurt Baumgartner, del blog de seguridad SecureList de Karspersky Lab, comentó que múltiples avisos de redes actualmente redirigen a sitios Blackhole, “amplificando el problema de explotación  en masa”.

"Hemos visto anuncios de sitios legítimos, especialmente en Reino Unido, Brasil y Rusia, que redirigen a sitios en los que se ha implementado Blackhole distribuyendo la vulnerabilidad de día cero", escribió Baumgartner.

La falla de seguridad existe en todas las versiones de Java 7 incluyendo la última actualización “10” , señaló Krebs. Lo anterior permite al atacante correr código arbitrario en sistemas con el plugin del navegador Java instalado y activo, lo que permite que los sistemas sean comprometidos sin que sea advertido. Él  recomendó a los usuarios que tienen instalado Java desactivar el software de los navegadores o, si este no es necesario, removerlo completamente.

El US-CERT publicó en una nota de vulnerabilidad sobre la falla de seguridad, que actualmente no se tiene conocimiento de una solución práctica del problema.