Sistemas Afectados

1. Descripción

   Se reportaron varias vulnerabilidades en Sun Java JRE (Java Runtime Environment), que pueden explotarse por personas maliciosas para comprometer el sistema de un usuario.

   1. Puede explotarse un error no específicado por un applet malicioso para leer y escribir archivos locales o ejecutar aplicaciones locales.

      La vulnerabilidad fue reportada en JDK/JRE 5.0 Update 3.0 y anteriores en plataformas Windows, Solaris y Linux. Las versiones SDK/JRE 1.4.2_xx, y 1.3.1_xx no son afectadas.

   2. Un applet malicioso puede explotar tres vulnerabilidades no específicadas con el uso del API de error "reflection" para leer y escribir archivos locales o ejecutar aplicaciones locales.

      Las siguientes versiones son afectadas por una o más de las vulnerabilidades en plataformas Windows, Solaris y Linux:

      * SDK y JRE 1.3.1_15 y anteriores.
      * SDK y JRE 1.4.2_08 y anteriores.
      * JDK y JRE 5.0 Update 3 y anteriores.
      

   3. Un error no específicado en la implementación JMX (Java Management Extensions) incluida con el JRE puede explotarse por un applet malicioso para leer y escribir en archivos locales o ejecutar aplicaciones locales.

      La vulnerabilidad fue reportada en JDK/JRE 5.0 Update 3 y anteriores en plataformas Windows, Solaris y Linux. SDK/JRE 1.4.2_xx y 1.3.1_XX no son afectadas.

2. Impacto

   Acceso al sistema.

3. Solución

   Actualizar a las versiones actualizadas.

   JDK y JRE 5.0:
   Actualizar a JDK y JRE 5.0 Update 4 o posterior.
   http://java.sun.com/j2se/1.5.0/download.jsp

   SDK y JRE 1.4.x:
   Actualizar a SDK y JRE 1.4.2_09 o posterior.
   http://java.sun.com/j2se/1.4.2/download.html

   SDK y JRE 1.3.x:
   Actualizar a SDK y JRE 1.3.1_16 o posterior.
   http://java.sun.com/j2se/1.3/download.html

4. Apéndices

   Sun Microsystems:
   http://sunsolve.sun.com/search/document.do-assetkey=1-26-102050-1
   http://sunsolve.sun.com/search/document.do-assetkey=1-26-102003-1
   http://sunsolve.sun.com/search/document.do-assetkey=1-26-102017-1

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Floriberto López Velázquez (flopez at seguridad dot unam dot mx)