Oracle corrige falha de segurança no Java

Apple e Mozilla bloquearam versões afetadas do plugin.
Falha permitia execução de código remoto no computador da vítima.

Por Paulo Higa

11 anos atrás • Atualizado há 4 dias

Falha de segurança no Java estava sendo explorada por sites brasileiros

A Oracle liberou ontem uma atualização para corrigir uma falha de segurança no plugin do Java. A vulnerabilidade já estava sendo explorada por diversos sites, inclusive brasileiros, e permitia que uma pessoa maliciosa executasse comandos remotos no computador de uma vítima. Além da correção, a nova versão traz uma alteração nas configurações de segurança do plugin.

O Java 7 Update 11 corrige a vulnerabilidade de execução de código remoto e também uma outra falha que existia há pelo menos sete meses. O nível de segurança padrão do plugin foi alterado de médio para alto, impedindo que um applet seja executado sem a autorização do usuário. A recomendação é atualizar o Java imediatamente. Se você desativou o assistente de atualização, o download pode ser feito neste link.

Enquanto a Oracle não liberava a correção, Apple e Mozilla tomaram medidas para evitar que a falha afetasse mais pessoas. A Apple bloqueou o plugin através de uma atualização na proteção antimalware em máquinas com OS X 10.6 ou superior. A Mozilla adicionou as versões afetadas do Java na lista negra do Firefox, fazendo com que o usuário tenha que clicar no applet para que o plugin seja executado.

Parece que está tudo certo agora, mas alguns especialistas consultados pela Reuters não estão muito confiantes: “Não nos atrevemos a dizer aos usuários que é seguro ativar o Java novamente”, diz Adam Gowdiak, pesquisador da Poland’s Security Explorations. O chefe de segurança da Rapid7, HD Moore, declara: “A coisa mais segura a se fazer neste momento é assumir que o Java sempre vai estar vulnerável. As pessoas não precisam de Java no desktop”.

Essa última declaração não pode ser aplicada ao Brasil porque vários bancos usam módulos de segurança feitos em Java e alguns impedem que o acesso ao internet banking seja feito sem o plugin rodando. Uma solução interessante é usar dois navegadores: um com o Java desativado, para acessar sites em geral, e outro com o Java ativado, para acessar sites de bancos e outros que exigem o plugin.

Com informações: AllThingsD, Reuters, The Next Web.