Java vulnerabile alle GIF assassine

Nel Java Runtime Environment (JRE), la macchina virtuale di Sun necessaria per far girare le applet e le applicazioni Java, è stata scoperta una vulnerabilità che potrebbe mettere a serio rischio gli utenti del Web.

Il problema deriva da un errore di buffer overflow nel codice della JRE che gestisce le immagini GIF . Attraverso la creazione di una speciale immagine malformata, un aggressore potrebbe riuscire ad eseguire su di un computer remoto una applet Java con i massimi privilegi, inclusi quelli di leggere, scrivere o eseguire file locali. Per riuscire in questo attacco, però, il malintenzionato deve prima convincere la vittima a visitare una pagina web maligna.

Sebbene la falla sia stata scoperta solo di recente, e divulgata pochi giorni fa da Zero Day Initiative , la sua correzione risale allo scorso dicembre : le versioni non vulnerabili di JRE sono la 5.0 Update 10 , la 1.4.2_13 , e la 1.3.1_19 , in alternativa è possibile scaricare la nuova versione 6 .

Per verificare quale versione di JRE sia installata nel proprio sistema, è possibile seguire le istruzioni contenute in questo advisory di Sun.

Anche nel caso in cui si disponga della release più recente, gli esperti di sicurezza suggeriscono di eliminare ogni vecchia versione di Java che fosse rimasta nel sistema: per motivi di compatibilità con le vecchie applicazioni, infatti, generalmente gli aggiornamenti a Java non disinstallano le precedenti versioni.

Sulla vulnerabilità è possibile consultare anche gli advisory di FrSIRT e di Secunia : entrambe classificano il problema come “critico”.