PDA

Ver la Versión Completa : Ejecución remota de código en Java Web Start



chuzo
21-mar-2005, 23:16
Una vulnerabilidad crítica ha sido identificada en Java Web Start, la cual permite que cualquier aplicación pueda elevar sus privilegios, de tal forma que obtenga permisos de lectura, escritura, y ejecución de archivos locales con los mismos privilegios del usuario actual.

El problema reside en el componente "Java Web Start" de Java 2 Standard Edition de SUN Microsystems ("javaws.exe" en Windows y "javaws" en Solaris y Linux), cuando se procesa una etiqueta modificada maliciosamente en un archivo JNLP (un estándar para ejecución remota de aplicaciones en Java).

El fallo puede ser explotado a través de una página web maliciosa, y permite eludir las políticas de seguridad predeterminadas por la "sandbox", y de ese modo leer, escribir y ejecutar archivos de forma arbitraria en el sistema vulnerable (esto incluye cualquier clase de malware, incluidos gusanos, troyanos, etc.).

Sandbox (o "caja de arena"), es un mecanismo de protección que limita el acceso que tiene un programa (en este caso applets de Java), a los recursos del sistema, protegiendo la información del usuario.

El fallo afecta a cualquier navegador que utilice Java de Sun, incluidos Internet Explorer, Mozilla, Firefox, Opera, etc.

Software afectado (Windows, Solaris y Linux)


Java Web Start en Java 2 Standard Edition (J2SE) 1.4.2_06
Java Web Start en J2SE versiones 1.4.2 anteriores


Software NO afectado (Windows, Solaris y Linux)


Java Web Start en J2SE 1.4.2_07 y posteriores
Java Web Start en J2SE 5.0 y posteriores
Java Web Start anteriores a la 1.4.2
Java Web Start 1.0.1_02 y anteriores


Soluciones:


Actualizarse a la versión J2SE 1.4.2_07 (o posterior): Seleccionar "J2SE Java Runtime Environment (JRE) http://java.sun.com/j2se/1.4.2/download.html
Actualizarse a la versión J2SE 5.0 Update 2: Seleccionar "J2SE Runtime Environment (JRE) http://java.sun.com/j2se/1.5.0/download.jsp


IMPORTANTE: No solo es necesario actualizarse a estas versiones, sino también desinstalar todas las versiones anteriores instaladas, desde Agregar o quitar programas del Panel de control

Soluciones alternativas:

Deshabilitar la ejecución de aplicaciones Java Web Start desde el navegador (esto no afecta el funcionamiento de otras aplicaciones de Java):

Para Mozilla/Firefox:


Seleccione "Preferences" bajo el menú "Edit"
En la ventana de Preferencias, seleccione "Helper Applications" localizado bajo la categoría "Navigator"
Bajo "Files types", localice "application/x-java-jnlp-file"
Seleccione "application/x-java-jnlp-file" y haga clic en el botón "Remove".


Créditos: Jouko Pynnonen

Referencias: Sun Alert ID: 57740, Security Vulnerability With Java Web Start (http://sunsolve.sun.com/search/document.do?assetkey=1-26-57740-1)

Fuente: VSAntivirus (http://www.vsantivirus.com/vul-java2se-200305.htm)

Un saludo :adios: