Múltiples vulnerabilidades en Oracle Java SE

Descripción

Se han encontrado múltiples vulnerabilidades serias en los componentes de Oracle Java SE. Los usuarios malintencionados pueden explotar estas vulnerabilidades para obtener privilegios, causar una denegación de servicio u obtener información confidencial.

A continuación hay una lista completa de vulnerabilidades:

1. Una vulnerabilidad no especificada en el subcomponente Bibliotecas puede ser explotada de forma remota por un atacante no autenticado a través de múltiples protocolos para obtener privilegios y causar una denegación parcial de servicio como resultado;
2. Un atacante no autenticado puede explotar de forma remota una vulnerabilidad no especificada en el subcomponente Bibliotecas a través de múltiples protocolos para obtener privilegios y obtener información sensible.

---

Detalles técnicos

Vulnerability (1) está relacionado con los componentes Java SE, Java SE Embedded y JRockit de Oracle Java SE.

La vulnerabilidad (1) es aplicable tanto a la implementación de Java en el cliente como en el servidor.

La vulnerabilidad (1) puede explotarse a través de los applets de Java y las aplicaciones de sandbox de Java Web Start. Otra forma de explotar una vulnerabilidad dada es suministrar datos a las API en el Componente especificado. En este caso, ni las aplicaciones Java Web Start ni las miniaplicaciones Java Sandbox son necesarias; el ataque se puede realizar, por ejemplo, a través de un servicio web.

Vulnerability (2) está relacionado con Java SE, Java SE Componentes integrados de Oracle Java SE.

El ataque exitoso de vulnerabilidad (2) requiere la interacción del usuario (no con la misma persona que el atacante no autenticado).

La vulnerabilidad (2) es frecuentemente aplicable a las implementaciones de Java, donde los clientes usan miniaplicaciones de Java y aplicaciones Sandboxed de Java Web Start, que cargan y ejecutan código que no es de confianza, por ejemplo, código que proviene de Internet.

La vulnerabilidad (2) con frecuencia no es aplicable a las implementaciones de Java, donde solo se carga código de confianza y se ejecuta en servidores (por ejemplo, código proporcionado por un administrador).

Notas informativas originales

• Oracle Critical Patch Update Advisory

Lista CVE

Leer más

Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com