Apple actualiza sus productos y parcha una vulnerabilidad que ya se estaba explotando

Apple ha lanzado una actualización de Java que parcha una docena de vulnerabilidades, entre ellas una que los cibercriminales han estado explotando durante dos semanas con el troyano Flashback.

El troyano Flashback.K aprovechaba una vulnerabilidad en Java (CVE-2012-0507), que Microsoft ya había parchado hace seis semanas, para infectar los equipos Mac, que todavía estaban desprotegidos. Los cibercriminales esparcieron el troyano entre los Mac con ataques drive-by que no requerían de la interacción de los usuarios para instalarse. Es más, Flashback.K se considera uno de los primeros casos de ataques drive-by para OSX.

La actualización que Apple publicó el martes está dirigida a Mac OS X 10.6, más conocido como “Snow Leopard”, y Mac OS X 10.7, también conocido como “Lion”. Apple recalcó la importancia de cada uno de los 12 parches, ya que todos ellos permiten que los criminales ejecuten códigos de forma remota en los equipos de sus víctimas.

Java no viene instalado de forma predeterminada en los equipos que funcionan con Lion pero, aun así, una gran cantidad de usuarios lo descargaron por cuenta propia porque muchos sitios web lo solicitan.

Mientras tanto, Mozilla también hizo alteraciones en sus prácticas de seguridad para controlar los problemas que causa Java a sus usuarios. Mozilla dijo que comenzará a bloquear las versiones antiguas de Java que tengan vulnerabilidades críticas. Esto evitará que sus productos ejecuten Java a menos que reciban una orden expresa del usuario. Sin embargo, estos cambios sólo funcionan en Windows, no en Mac.

“No se sabe por qué Apple no publicó estos parches antes de que los cibercriminales comenzaran a atacar a los usuarios de Mac”, dijo Chet Wisniewski, analista de seguridad de la empresa Sophos. “Por suerte, cuando esto se convirtió en un problema, la compañía no tardó en reaccionar”.

Fuentes:

Apple Patches Java Flaw Exploited by Flashback Trojan PC Magazine

Apple patches Mac Java zero-day bug Computerworld

Apple plugs Java hole after Flashback Trojan intrusion The Register