Inicio / Alerta Temprana / Avisos Seguridad / Vulnerabilidad crítica en Java Web Start y Java Deployment Toolkit

Vulnerabilidad crítica en Java Web Start y Java Deployment Toolkit

Fecha de publicación: 
12/04/2010
Importancia: 
3 - Media
Recursos afectados: 
Java SE 6 update 10 y posteriores
Impacto: 

La explotación de esta vulnerabilidad podría llegar a permitir una ejecución remota de código.

Solución: 

Como medidas temporales hasta que publique la actualización de seguridad puede realizar las siguientes opciones:

  • En caso de que no sea necesario deshabilite javaws (o javavws.exe) por cualquier medio (por ejemplo renombrando el archivo).
  • En Internet explorer configure el killbit de CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA. Puede encontrar las instrucciones para hacerlo en Microsoft.
  • En Mozilla Firefox y otros navegadores basados en NPAPI modifique los permisos del fichero npdeploytk.dll para que sea inaccesible.

En sistemas Windows bajo Directorio Activo puede aplicar estas medidas, configurar killbits y modificar los permisos de ficheros (ACLs), a todos los equipos mediante GPOs.

Cuando cuando se publique la actualización de seguridad, deshaga las soluciones temporales realizadas e instálela.

Detalle: 

Java Web Start y Java Deployment Toolkit son tecnologías que se instalan por defecto con Java y que permiten descargar y ejecutar en local código Java a través del navegador.

Grave vulnerabilidad en Java Web Start y Java Deployment Toolkit de Internet Explorer y Firefox en todas las versiones desde Java SE 6 update 10 y posteriores para Microsoft Windows y probablemente también para sistemas Linux.

La vulnerabilidad es provocada porque no se realiza una validación apropiada de los parámetros de entrada y puede permitir la ejecución remota de código.

Se puede comprobar si se es vulnerable visitando el siguiente enlace no malicioso que trata de ejecutar la calculadora en local explotando la vulnerabilidad:

  • http://lock.cmpxchg8b.com/bb5eafbc6c6e67e11c4afc88b4e1dd22/testcase.html

El fabricante conoce la vulnerabilidad y está trabajando en la resolución del problema.

Actualización:13/04/2010: Se están publicando nuevos datos acerca de esta/s vulnerabilidad/es, parece ser que no es una sola vulnerabilidad sino que hay varias, en el momento que tengamos más datos, se irá actualizando.