(27/1). Vale lembrar que ataques desse tipo instalam automaticamente malwares nas maquinas de usuarios que visitam sites comprometidos.A noticia veio na sequencia de varias e embaracosas vulnerabilidades 0-day, e do recente compromisso assumido pelo chefe de seguranca do Java de que a sua equipe corrigiria os bugs no software.As configuracoes de seguranca do Java que podem ser contornadas foram introduzidas no mes passado, com o Java 7 Update 11. Essas disposicoes permitem que os usuarios decidam quais applets podem ser executados dentro dos navegadores. A mais rigorosa das quatro configuracoes supostamente bloqueia qualquer applet nao-assinado com um certificado digital valido.Outras restricoes aprovam livremente a maioria dos applets nao-assinados, executam applets nao-assinados somente se o proprio Java estiver atualizado, ou exibem um aviso antes que applets nao-assinados sejam executados.Mas, de acordo com CEO da Security Explorations Adam Gowdiak, nenhuma dessas configuracoes chega a atrapalhar um cracker. "O que descobrimos e que o codigo Java nao-assinado pode ser executado com sucesso em um sistema-alvo Windows, independente do nivel de seguranca definido pelo usuario no Painel de Controle do Java", escreveu o especialista em um post no domingo (27/1), na lista de discussao Bugtraq. "O 'alto' ou 'muito alto' nao importa muito aqui. Ainda assim o codigo sera executado."Seguro, mas nem tantoDepois de identificar a vulnerabilidade e criar um exploit prova-de-conceito que funciou no Java 7 Update 11 (a versao lancada ha duas semanas) rodando em Windows 7, Gowdiak reportou o bug para a Oracle.Sua descoberta torna discutivel - pelo menos em teoria - a ultima alteracao de seguranca da Oracle. Quando liberou a atualizacao de emergencia em 13 de janeiro para anular duas vulnerabilidades criticas do plug-in do Java, incluindo uma que foi ativamente explorada por cibercriminosos, a Oracle tambem redefiniu automaticamente o Java para o nivel de seguranca "Alto". Nessa configuracao, o software notifica os usuarios antes que eles possam executar applets nao-assinados.Embora nao haja evidencias de que crackers estejam explorando essa nova vulnerabilidade, Gowdiak deu a entender que nao seria dificil para eles o fazerem. "Ela deve ser considerada", disse Gowdiak. "Estamos realmente surpresos ao descobrir o quao trivial e contornar essas novas configuracoes de seguranca."Os cibercriminosos intensificaram seus ataques contra o Java e o seu plug-in, e algumas empresas de seguranca estimam que eles sejam responsaveis por mais de metade de todas as tentativas de exploracoes. Na maioria das vezes, exploits Java sao utilizados para realizar ataques drive-by download.Gowdiak publicou sua reivindicacao poucos dias depois de a Oracle lancar uma gravacao de uma conferencia entre os lideres do grupo de usuarios Java e o principal gerente senior de produto, Milton Smith, responsavel por supervisionar a seguranca do software. Eles discutiram as recentes vulnerabilidades e o caminho que a Oracle estava tomando.Durante a chamada, Smith explicou os aperfeicoamentos de seguranca para o Java 7, incluindo a introducao das configuracoes do Update 10 e a mudanca do padrao de "medio" para "alto" do Update 11. "As mudancas efetivamente fazem com que applets nao-assinados nao sejam executados sem um aviso", disse Smith. "Algumas das coisas que estavamos vendo eram feitos silenciosos, onde as pessoas