Oracle publica un parche fuera de ciclo para Java 7

Oracle ha roto su ciclo programado de actualizaciones para publicar un parche de emergencia para unas vulnerabilidades en Java 7 que los cibercriminales ya han comenzado a explotar. Pero algunos expertos en seguridad afirman que la reacción de Oracle no es tan rápida como parece, pues la empresa ya sabía de la existencia de la amenaza desde abril.

Los hackers utilizan estas vulnerabilidades para irrumpir en sistemas a distancia sin necesidad de autentificaciones como nombres de usuario y contraseñas. “Cuando se explotan con éxito [las vulnerabilidades], se impacta la disponibilidad, integridad y confidencialidad del sistema del usuario”, explicó Oracle.

Las vulnerabilidades se hicieron públicas la semana pasada, cuando criminales virtuales comenzaron a utilizarlas en ataques “drive-by”. Oracle tenía programado publicar sus próximas actualizaciones en octubre, por lo que algunas empresas se adelantaron y publicaron sus propias herramientas para proteger a sus clientes de forma provisional hasta que llegara la fecha establecida para recibir los parches.

Pero Oracle sorprendió con esta actualización de emergencia pocos días después de que se descubrieran los ataques. Aun así, la empresa está siendo criticada por haber tardado demasiado en publicar el parche para las vulnerabilidades, que ya conocía desde abril.

Las vulnerabilidades sólo se encuentran en la versión de Java para navegadores. Es decir, las aplicaciones Java de escritorio o las que se ejecutan en servidores no tienen este problema. Por ahora sólo se está atacando a usuarios de Windows, aunque se ha comprobado que las vulnerabilidades también afectan a otros sistemas, como Mac OS X.

“Debido a la gravedad de estas vulnerabilidades, Oracle recomienda a sus clientes que instalen esta actualización lo antes posible”, dijo la empresa en una declaración oficial.

Fuentes:

Oracle patches Java 7 vulnerability Cnet

Oracle Quietly Releases Fix For Serious Java Security Bug–Months After It Was Reported Forbes

Oracle rushes out patch for critical 0-day Java exploit The Register