Oracle Java SE y Java SE Embedded presentan una vulnerabilidad crítica en el subcomponente RMI (Remote Method Invocation), catalogada como CVE-2017-10285 con un puntaje CVSS 3.0 de 9.6. Afecta a Java SE 6u161, 7u151, 8u144 y 9, además de Java SE Embedded 8u144. Un atacante no autenticado con acceso a red puede explotarla mediante múltiples protocolos, aunque requiere interacción de la víctima, y el impacto se extiende a productos adicionales que dependan de Java.
El riesgo real es alto: la explotación exitosa permite tomar el control completo del sistema (confidencialidad, integridad y disponibilidad comprometidas). Según EPSS, hay un 3,1% de probabilidad de explotación en los próximos 30 días (percentil 88%), y Shodan ya indexa 39 hosts expuestos con este CVE detectado. La falla afecta típicamente a clientes que ejecutan aplicaciones Java Web Start o applets en sandbox que cargan código no confiable; no aplica a servidores que solo ejecutan código de confianza. GitHub la clasifica como CRITICAL en su advisory GHSA-gmm7-r638-2wvf.
| CVE | CVE-2017-10285 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.6 / 10 |
| EPSS | 3.1% en 30 días (percentil 88) |
| Exposición (Shodan) | 39 host(s) expuesto(s) en internet ahora mismo |