Sistemas Afectados

1. Descripción

   El entorno de ejecución de Java (JRE) permite que los usuarios de Java ejecuten aplicaciones en un navegador Web o como programas standalone. Sun ha liberado actualizaciones para el JRE para corregir múltiples vulnerabilidades. Mayor información sobre estas vulnerabilidades pueden consultarse en la base de datos de notas de vulnerabilidades.

   Es importante hacer notar que el código del exploit está públicamente disponible para al menos una de estas vulnerabilidades.

2. Impacto

   Al lograr que los usuarios ejecuten una aplicación de Java especialmente creada para aprovechar dicha vulnerabilidad, el intruso, de forma remota y sin autenticarse, podrá ejecutar código arbitrario en sistemas vulnerables. Un vector de ataque muy común podría ser un sitio Web que contenga un applet.

3. Solución

   Aplicar la actualización.

   Si se instala la última versión de Java, las anteriores pueden permanecer en el equipo. Si esta versión de Java no se requiere, puede ser removida. Las instrucciones para remover versiones anteriores, se encuentran disponibles en el siguiente link de Sun:

   http://www.java.com/en/download/faq/5000070400.xml

   Deshabilitar Java

   Deshabilitar Java en el navegador Web, según lo especificado en el documento Securing Your Web Browser. Mientras no se corrija el problema, es conveniente bloquear el vector más común de ataque.

4. Referencias

   • US-CERT Nota de vulnerabilidad VU#388289 - <http://www.kb.cert.org/vuls/id/388289>
   • US-CERT Nota de vulnerabilidad VU#102289 - <http://www.kb.cert.org/vuls/id/102289>
   • US-CERT Nota de vulnerabilidad VU#149457 - <http://www.kb.cert.org/vuls/id/149457>
   • US-CERT Nota de vulnerabilidad VU#939609 - <http://www.kb.cert.org/vuls/id/939609>
   • Asegurando tu navegador - <http://www.us-cert.gov/reading_room/securing_browser/>
   • CVE-2007-0243 - <http://cve.mitre.org/cgi-bin/cvename.cgi-name=CVE-2007-0243>
   • CVE-2006-6745 - <http://cve.mitre.org/cgi-bin/cvename.cgi-name=CVE-2006-6745>
   • CVE-2006-6731 - <http://cve.mitre.org/cgi-bin/cvename.cgi-name=CVE-2006-6731>
   • Tecnologías Java SE - <http://java.sun.com/javase/technologies/>
   • Seguridad en Java SE - <http://java.sun.com/javase/technologies/security/index.jsp>
   • Cómo remover versiones anteriores de la JRE después de instalar una versión más reciente - <http://www.java.com/en/download/faq/5000070400.xml>

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Ricardo Carrillo Sanchez (rcarrillo at correo dot seguridad dot unam dot mx)
• Sergio Alavez Miguel (salavez at seguridad dot unam dot mx)
• Israel Becerril Sierra (ibecerril at seguridad dot unam dot mx)