www.MegaLab.it

Il motore di esecuzione Java di Sun è nuovamente al centro dell'attenzione per due vulnerabilità davvero notevoli, che potrebbero permettere ad un utente ostile di eseguire codice da remoto.

Secunia ha riportato che Java Web Start e Java Runtime Environment (quest'ultima installata su un numero davvero cospicuo di workstation) sono afflitte da un pericoloso baco che potrebbe permettere ad cracker di mandare in esecuzione una applicazione senza alcuna conferma da parte dell'utente.

La falla è ulteriormente aggravata dall'integrazione fra Java e qualsiasi navigatore web. Costruendo una pagina web ad hoc, un utente ostile potrebbe prendere pieno controllo di una macchina vulnerabile solamente convincendo la vittima a visualizzarla nel browser.

E non si tratta di un navigatore specifico: Internet Explorer, Firefox, Opera, Konqueror e qualsiasi browser in grado di gestire applet Java è a rischio.

Contrariamente a quanto avviene di solito, la vulnerabilità non espone solamente gli utenti Windows, ma anche Linux e Solaris: poiché Java è un linguaggio in grado di girare su qualsiasi sistema operativo in cui sia installato un interprete adeguato, un'azione di cracking su vasta scala potrebbe colpire numerosissimi utenti, senza nemmeno obbligare l'assaltatore a modificare il proprio codice.

Sun ha già rilasciato una build corretta del proprio pacchetto, numerata 1.5.0_02-b09: per sapere se la propria macchina è vulnerabile è sufficiente digitare java -fullversion al prompt dei comandi.

Qualsiasi versione precedente alla suddetta è considerata a rischio, ed è vivamente raccomandato l'aggiornamento alla primissima occasione: per upgradare il motore Java è possibile utilizzare la funzionalità di auto-aggiornamento dell'ambiente, raggiungibile da Pannello di Controllo -> Java -> Aggiornamento -> Aggiorna adesso

In alternativa, Sun mette a disposizione anche la versione full del pacchetto: è disponibile qui per tutti i sistemi operativi.

Sebbene non esplicitato, è presumibile che anche JDK (la versione per sviluppatori Java dell'interprete) sia vulnerabile, e tramite essa anche le applicazioni che ne fanno uso potrebbero esporre l'utenza a qualche rischio: la build aggiornata JDK 5 Update 3 è disponibile qui o, ancora, mediante le funzionalità di aggiornamento automatico viste in precedenza.