Grave vulnerabilidad en Java RE 1.7: Cómo deshabilitar Java en todos los navegadores

Se ha descubierto una grave vulnerabilidad en Java Runtime Environment (JRE) versión 1.7 y posterior que permite a un atacante la ejecución de código remota en sistemas cliente que visiten una página web especialmente formada.

Si bien es algo a lo que estamos acostumbrados, tanto en aplicacipnes de Adobe, como también en este producto de Oracle, esta vez la gravedad recae en que se conocen demasiados detalles de la vulnerabilidad, se está utilizando de manera masiva, y parece ser que Oracle tardará unos días (ya demasiado tarde) en publicar un parche que corrija la vulnerabilidad.

Esta vez, la rama de JRE afectada corresponde con la 1.7, por lo que los usuarios de la versión 1.6 y anteriores no se encuentran afectados. Si bien en un primer momento se pensaba que únicamente eran vulnerables los sistemas Windows, desde Rapid7 han desarrollado ya un módulo para Metasploit (disponible en la última actualización del framework) cuyos payloads generados han funcionado en Mozilla Firefox sobre Ubuntu y Safari sobre OS X 10.7.4. Para conocer todos los detalles, si bien ya hay multitud de posts que realizan análisis, uno recomendado es el de DeepEnd Research, escrito por Andre' M. DiMino y Mila Parkour.

De momento, la única recomendación posible (y tajante como ella sola) es deshabilitar por completo Java de nuestros navegadores hasta nueva orden (hasta que Oracle nos deleite con un parche).

Vamos a dar un repaso por los navegadores más utilizados para saber cómo deshabilitar Java y poder así, navegar tranquilos sin permitir que millones de personas jueguen con nuestros PCs:

- Cómo deshabilitar Java de Internet Explorer

1) Menú de Herramientas (Tools) -> Opciones de Internet (Internet Options)

2) Pestaña Programas (Programs) -> Gestionar complementos (Manage Add-ons)

3) Seleccionar Java Plug-in y deshabilitar (disable)

4) Hacer clic en Aceptar (Ok), y de nuevo Aceptar (Ok)

- Cómo deshabilitar Java de Mozilla Firefox

1) Menú de Herramientas (Tools) -> Complementes (Add-ons)

2) Seleccionar el panel Plugins

3) Hacer clic en elementos cuyo nombre sea Java Plug-in o Java Applet Plug-in. Según el entorno, sistema operativo y versión, el complemento puede venir con un nombre u otro.

4) Hacer clic en el botón "Deshabilitar" (Disable)

- Cómo deshabilitar Java de Google Chrome

1) Accedemos al menú de plugins escribiendo "chrome://plugins/" en la barra de direcciones.

2) Buscar el complemento Java y hacer clic en "Deshabilitar"

- Cómo deshabilitar Java de Safari

1) Acceder a Preferencias -> Pestaña "Seguridad" (Security)

2) Desmarcar la opción "Habilitar Java"

Ahora, ya nos podemos sentir un poco más seguros, por lo menos hasta que se publique una actualización para esta vulnerabilidad.

[+] Users urged to disable Java as new exploit emerges (The Register)

ACTUALIZACIÓN [30-Agosto-2012 20:00]
Oracle ha publicado la actualización Java™ SE Development Kit 7, Update 7 (JDK 7u7) en la que se solucionan las vulnerabilidades del CVE-2012-4681.

Leer más...

Web Browsers Traces Eraser, limpia trazas allá donde vayas

A través de la lista de herramientas desarrolladas por NoVirusThanks nos encontramos con Web Browsers Traces Eraser, un programa que nos ayuda a limpiar los datos de los navegadores más populares.

La lista de programas soportados por la herramienta es amplia, contando con más de 10 navegadores diferentes, entre los que se encuentran Firefox, IE, Opera, Safari y Chrome. Además, también nos permite eliminar trazas de Flash Player, Java, así como algunos datos del propio exporador de Windows.

Cuando lo iniciamos, el programa escanea el equipo en busca de trazas y las marca en el menú para que sean eliminadas.

Probablemente lo mejor de todo, es que además del instalador han lanzado una versión portable para que podamos llevarlo en el pendrive, lo cual resulta muy cómodo a la hora de limpiar los datos de un ordenador ajeno que hayamos usado.

Funciona en sistemas Windows de 32 y 64 bits.

Descarga (Instalador - Portable)

Leer más...

Secure Sanitizer, limpiar de forma segura el caché de tu Firefox

Cuando pensamos en navegación privada, una de las primeras cosas de las que siempre nos preocupamos es de borrar todo el rastro que hayamos podido dejar en el navegador una vez terminada la navegación.

Por supuesto, es una buena medida, pero ineficiente si pensamos en que esos datos se pueden recuperar, ya que normalmente los navegadores no hacen un borrado seguro.

Ésto es lo que intenta solucionar Secure Sanitizer, un complemento para Firefox que añade opciones de borrado seguro cuando eliminamos los datos privados de navegación. A cambio, solo sacrificaremos unos cuantos segundos adicionales en el proceso de borrado.

Concretamente añade dos opciones (además de borrado normal):

• Random data (fast) - Sobreescritura con datos aleatorios.
• US DoD 5220 3 steps (secure) - Método de borrado introducido por el Departamento de Defensa de EEUU. Más seguro que la sobreescritura simple.

El complemento se integra con Firefox en la opción de borrado de datos privados de la siguiente forma:

Por supuesto, también es compatible con Iceweasel:

En las últimas versiones de Firefox, cuando lo configuramos para que se borren los datos de navegación de forma automática cuando se cierra, no aparece este cuadro de dialogo. El autor recomienda instalar otro complemento llamado AskForSanitize para forzar que aparezca cuando se cierra, y así verificar que los datos se borran de forma segura.

Sin duda, otro complemento obligatorio para aquellos que quieren un poquito más de privacidad.

Leer más...