sábado, 5 de outubro de 2013

Falha 0-day / IE

Segurança: Microsoft corrige falha 0-day do Internet Explorer

IDG News Service 04/10/2013 - 08h00 - Atualizada em 04/10/2013 - 11h55

Empresa irá liberar oito atualizações de segurança na próxima semana para corrigir vulnerabilidades críticas no Windows e no IE.

A Microsoft disse nessa quinta-feira (03) que irá liberar oito atualizações de segurança na próxima semana para corrigir vulnerabilidades críticas no Windows e no Internet Explorer (IE) - com uma das mais exploradas falhas do IE utilizada por crackers há meses.

"A atualização crítica para o Internet Explorer será uma atualização cumulativa que vai corrigir a questão divulgada publicamente no Security Advisory 2887505", confirmou Dustin Childs por meio do Microsoft Security Response Center (MSRC) hoje.

Especialistas em segurança identificaram esse update para o navegador como sendo o primeiro que deve ser implantado, citando o fato de que uma das vulnerabilidades tem sido utilizado por cibercriminosos em ataques direcionados contra os usuários no Japão e em Taiwan.

"O IE está sempre no topo da lista", disse em entrevista o diretor de DevOps na empresa de segurança em nuvem CloudPassage, Andrew Storms.

Problemas

No dia 17 de setembro, a Microsoft confirmou que crackers estavam explorando uma vulnerabilidade crítica não corrigida no Internet Explorer 8 e no Internet Explorer 9. O bug, no entanto, existia em todas as versões do browser - incluindo a de 12 anos atrás IE6 e a mais recente IE11.

Durante as duas semanas seguintes, as empresas de segurança informaram que os ataques foram destinados a organizações japonesas e taiwanesas desde julho. E, no início desta semana, um código de exploração veio a público como um módulo de trabalho acrescentado à ferramenta de testes de penetração Metasploit.

Pesquisadores previram que a divulgação desse movimento resultaria em um aumento nos ataques hackers, com crackers copiando o código e o acrescentando em seus kits de exploração.

"Uma vez dentro do Metasploit, eu esperava uma liberação antecipada de um patch da Microsoft", disse Storms. "Obviamente a correção está pronta, mas a telemetria da Microsoft e de seus parceiros deve ter demonstrado que não havia razões para liberá-la".

Historicamente, a Microsoft emite atualizações fora do programado apenas quando a empresa acredita que um grande número de seus clientes estão em risco. A gigante de Redmond nunca divulgou publicamente como decide quando liberar uma atualização de segurança fora da escala programada. Com a Patch Tuesday próxima - sempre a segunda terça-feira do mês - pode ter influenciado na decisão da Microsoft de manter a atualização e não sair do programa, disse Storms. Update.

A atualização do IE foi apenas uma das quatro classificadas como "críticas" pela Microsoft. As outras três são todas relacionadas ao Windows, incluindo uma aplicada ao mais recente Windows 8, Windows RT, Windows 8.1 e Windows RT 8.1, de acordo com a notificação divulgada hoje.

Especialistas recomendam que os clientes instalem as updates do Windows o quanto antes. A Microsoft disse que o boletim 3 não afeta o Windows 8.1 ou o Windows RT 8.1, mas o boletim 2 sim. As outras quatro atualizações irão corrigir vulnerabilidades no Excel, outras partes do Office, do SharePoint e do Silverlight. Porque as vulnerabilidades relacionadas ao Office foram classificadas como "importantes", apesar de a Microsoft dizer que crackers poderiam explorá-las para plantar malware em PCs, Storms afirma que é provável que qualquer código de ataque necessite da interação do usuário para funcionar (como download de arquivos, abertura pastas compartilhadas ou clicar em vários avisos).

"Ser explorado através de um drive-by não vai acontecer", disse Storms, referindo-se aos ataques mais perigosos, que requerem apenas que o usuário visite um site malicioso para acionar exploits. A Microsoft irá liberar as atualizações de segurança na próxima terça-feira, 8 de outubro.

  IDG

Um comentário:

Anônimo disse...

Já aguardo com ansiedade. Tenho o plugin da browsercheck.qualys.com que me notifica diariamente da vulnerabilidade do IE, que já tá faz tempo aqui. Já a eSet NOD32 Antivirus alerta com notificação do sistema com maior rapidez da disponibilidade do update do que o próprio Windows, que demora - e como demora - para elaborar e executar a correção dessas brechas que, até lá, outros já aparecerão pra variar.