Oracle actualiza Java y los investigadores anuncian que la vulnerabilidad persiste.

La semana pasada se dio la voz de alarma ante un importante fallo en la última actualización de Java (7 u10), una actualización que contenía un agujero que podría ser explotado por hackers de manera remota y acceder a nuestros ordenadores. El domingo Oracle anunciaba una actualización de emergencia tras la alarma, una nueva actualización que según los expertos mantiene varios fallos de seguridad críticos.Y es que dos días después de que el Gobierno de Estados Unidos instara a los usuarios a deshabilitar el software, Oracle anunciaba el domingo una rápida actualización. La compañía explicaba a través de una entrada en el blog que:

Hemos llevado a cabo una actualización que corrige dos vulnerabilidad en la versión de Java 7 para los navegadores web. También hemos cambiado la configuración de seguridad de Java de nivel medio a alto por defecto, lo que permitirá un acceso más difícil a programas sospechosos sin el conocimiento del usuario.

Horas después, el investigador de seguridad Adan Gowdiak, el mismo que había descubierto meses atrás varios errores de Java, explicaba que la actualización no excluía la vulnerabilidad encontrada:

No nos atrevemos a decir a los usuarios que es seguro habilitar Java de nuevo.

En la misma línea se mostró el director de seguridad de la firma Rapid7, HD Moore, compañía que da asistencia para identificar vulnerabilidades y fallos críticos de seguridad:

Creemos que le podría llevar a Oracle alrededor de dos años arreglar todos los errores de seguridad. A día de hoy es fácil suponer que Java va a continuar siendo vulnerable. Realmente el usuario no necesita Java en su escritorio.

Sea como fuere, Oracle también ha querido explicar que el fallo solo afecta a Java 7, la última versión delsoftware para los navegadores web. Mientras, la mayoría de expertos en seguridad mantienen el nivel de alerta desde el pasado mes de agosto, momento en el que se comenzó a aconsejar el uso del software sólo si fuera necesario. El CERT por su parte aconseja desinstalar Java de los sistemas hasta nuevo aviso o en su defecto, mantener el nivel de alerta sobre los sitios que se visitan.

El jurado dicta que Google no infringió las patentes de Oracle.

Mucho se ha escrito del polémico juicio por las patentes de Java y el supuesto uso ilegal de Google cuando creó el sistema operativo Android. La situación era tensa y se había creado mucha expectación en relación a este juicio que parece tener ya su fin.

Tras llegar el juicio a un punto muerto en el que, aunque no se tenía claro el resultado, parece que definitivamente ya tenemos un veredicto. El jurado ha hablado:  Google no infringe las patentes de Oracle.

12 05 23 Oracle Google Patent Verdict

El jurado dice que Google sí violó derechos de autor de Java, pero no pagará indemnización.

Oracle había acusado a Google de infringir la patente del lenguaje de programación Java, propiedad de Oracle luego de que la empresa comprara Sun Microsystems por 7.400 millones de dólares en 2009.

Un jurado en Estados Unidos declaró el lunes a Google culpable de infringir los derechos de autor al utilizar el lenguaje informático de programación Java, propiedad de Oracle, aunque afirmó tener razones para pensar que el gigante de internet tenía derecho de hacerlo.

Los miembros del jurado no lograron ponerse de acuerdo con respecto a si Google había realizado un "uso justo" del sistema Java, que haría que su utilización fuera admisible.

El jurado rechazó cualquier posibilidad de que Oracle recibiera una indemnización por daños y perjuicios, al no lograr un acuerdo sobre la cuestión del "uso justo" y al coincidir en que Sun Microsystems, creadora del sistema de programación Java, y Oracle, propietaria de Sun, dieron la impresión a Google de que no era necesario solicitar la licencia.

"No se ha determinado ninguna responsabilidad en materia de derecho de autor hasta ahora", dictaminó el juez de distrito estadounidense, William Alsup, a los letrados luego que el jurado abandonara la audiencia en un tribunal federal en San Francisco, California (oeste).

Google negó las acusaciones y afirmó que los fabricantes de teléfonos móviles y otros usuarios del sistema operativo Android tienen derecho a utilizar la tecnología Java en disputa.

Descubrieron fallo de seguridad en Oracle Database.

De acuerdo con el alerta de seguridad que publicó Oracle esta mañana, prácticamente todas las versiones de su reconocido software de bases de datos publicadas en los últimos 13 años, presentan un fallo de seguridad que permitiría monitorizar las conexiones a los servidores y hasta introducir malware en ellos. Para colmo, la compañía estudia efectuar las correcionessólo en los futuros lanzamientos.

El problema está relacionado con el TNS Listener, el proceso que responde a las solicitudes de conexión con las bases de datos, a través de determinado puerto. Según el investigador de seguridad Joxean Koret, los servidores que posean puertos de escucha abiertos a Internet, poseen una vulnerabilidad gracias a la cual un hacker podría interceptar las conexiones y hacerse pasar por un usuario legítimo.

Si bien la empresa está al tanto de este bug (denominado Oracle TNS Poison) y reconoció al investigador por ello, aún no se publicó un parche y tampoco se haría en las versiones que todavía son soportadas por la compañía. ¿Por qué? En ese mismo alerta de seguridad, Oracle explicó que muchos clientes solicitaron que no lo hicieran, por la gran posibilidad de sufrir regresiones en sus implementaciones.

La situación empeora si tenemos en cuenta que Koret publicó los detalles junto con unaprueba de concepto, creyendo que se habían efectuado las correcciones necesarias al lanzar los parches más recientes. Como esto no fue así, ahora se convirtió en un fallo 0-dayque todavía no fue resuelto y recién tendría una solución en los próximos lanzamientos delsoftware de bases de datos.

Así las cosas, la compañía publicó una serie de medidas para reducir los riesgos, efectuando cambios en la configuración. Pero, de todas formas, debe ser un llamado de atención sobre la manera de tomar conocimiento y resolver los fallos porque, en este caso, el remedio fue peor que la enfermedad.

Oracle hace sus descargos contra Google por violar su propiedad intelectual.

Oracle presentó sus alegatos en la corte ayer, en el primer día de juicio con Google, un litigio que deberá poner fin a una disputa que se extiende ya por dos años. Según la compañía de Larry Ellison, aunque Android sea gratuito,“no puedes aplastar la propiedad intelectual de alguien sólo porque tienes una buena razón de negocios”, afirmó el abogado Michael Jacobs.

Un panel de 12 personas será el encargado de dirimir tras las ocho semanas que durarán los testimonios respecto a si Google violó o no las patentes de Oracle cuando creó Android. Entre ellos hay dos ingenieros en computación con más de 20 años de experiencia, uno que trabajó en Cisco y otro en HP.

Según Jacobs, Google estaba tan ansioso de que Android saliera adelante, que no esperó obtener una licencia por las patentes de Sun (adquiridas por Oracle en 2010) para usar Java, aun cuando sabían que necesitaban una.

Los abogados de Google responderán a las acusaciones durante la sesión de hoy, presentando su lado de la historia.

Aunque al principio la demanda era sobre patentes, los alegatos fueron cambiando hasta tratarse sobre copyright, principalmente porque cinco de las siete patentes originalmente mostradas por Oracle fueron descartadas por el juez. Así, al principio Oracle estaba pidiendo USD$6.000 millones en compensaciones, cifra que ha debido ser reducida en gran escala.

“La propiedad intelectual es la que impulsa nuestra economía, y es la base para la I+D en la que las grandes compañías toman parte”, dijo Jacobs al jurado, mostrando luego como evidencia un e-mail de un ingeniero de Google, Tim Lindholm, al jefe de Android, Andy Rubin. Google intentó invalidar sin éxito estos correos anteriormente para que no fueran usados en el juicio.

El e-mail señala en una parte: “Se nos pidió (por parte de Larry y Sergey) que investiguemos las alternativas técnicas que existen para Java en Android y Chrome. Hemos revisado muchas de éstas, y pensamos que todas son malas. Hemos concluido que tenemos que negociar una licencia de Java bajo los términos que necesitamos“.

“La decisión de usar la propiedad intelectual de Oracle en Android se hizo en los niveles superiores de Google con conciencia de lo que ocurría”, argumentó el abogado.

En su demanda, Oracle afirma que no es necesario tener una licencia para usar Java, pero sí para usar la interfaz de programación de aplicaciones (API) de Java. Google en cambio dice que ninguna de las dos cosas está sujeta a copyright.

Jacobs afirmó que Google gana dinero con Android, pese a que lo ofrece de forma gratuita, y que se aprovechó de que Java tenía una comunidad activa de desarrolladores para montar su sistema operativo.