Ejecución remota de código en Java Web Start
Por Angela Ruiz

Una vulnerabilidad crítica ha sido identificada en Java Web Start, la cual permite que cualquier aplicación pueda elevar sus privilegios, de tal forma que obtenga permisos de lectura, escritura, y ejecución de archivos locales con los mismos privilegios del usuario actual.

El problema reside en el componente "Java Web Start" de Java 2 Standard Edition de SUN Microsystems ("javaws.exe" en Windows y "javaws" en Solaris y Linux), cuando se procesa una etiqueta modificada maliciosamente en un archivo JNLP (un estándar para ejecución remota de aplicaciones en Java).

El fallo puede ser explotado a través de una página web maliciosa, y permite eludir las políticas de seguridad predeterminadas por la "sandbox", y de ese modo leer, escribir y ejecutar archivos de forma arbitraria en el sistema vulnerable (esto incluye cualquier clase de malware, incluidos gusanos, troyanos, etc.).

Sandbox (o "caja de arena"), es un mecanismo de protección que limita el acceso que tiene un programa (en este caso applets de Java), a los recursos del sistema, protegiendo la información del usuario.

El fallo afecta a cualquier navegador que utilice Java de Sun, incluidos Internet Explorer, Mozilla, Firefox, Opera, etc.


Software afectado (Windows, Solaris y Linux)

- Java Web Start en Java 2 Standard Edition (J2SE) 1.4.2 06
- Java Web Start en J2SE versiones 1.4.2 anteriores


Software NO afectado (Windows, Solaris y Linux)

- Java Web Start en J2SE 1.4.2 07 y posteriores
- Java Web Start en J2SE 5.0 y posteriores
- Java Web Start anteriores a la 1.4.2
- Java Web Start 1.0.1 02 y anteriores


Soluciones:
- Actualizarse a la versión J2SE 1.4.2 07 (o posterior)
- Actualizarse a la versión J2SE 5.0 Update 2

IMPORTANTE: No solo es necesario actualizarse a estas versiones, sino también desinstalar todas las versiones anteriores instaladas, desde Agregar o quitar programas del Panel de control


Soluciones alternativas:

Deshabilitar la ejecución de aplicaciones Java Web Start desde el navegador (esto no afecta el funcionamiento de otras aplicaciones de Java):

Para Internet Explorer:

• Mi PC, Herramientas, Opciones de carpetas

• Seleccionar "Tipos de archivos"

• En "Tipos de archivos registrados" seleccionar JNLP (JNLP File) y hacer clic en el botón "Eliminar"

Para Mozilla/Firefox:

• Seleccione "Preferences" bajo el menú "Edit"

• En la ventana de Preferencias, seleccione "Helper Applications" localizado bajo la categoría "Navigator"

• Bajo "Files types", localice "application/x-java-jnlp-file"

• Seleccione "application/x-java-jnlp-file" y haga clic en el botón "Remove".

Créditos:
Jouko Pynnonen

(c) Video Soft
(c) VSAntivirus