A Microsoft está preparando um patch emergencial que deve ser lançado nesta terça-feira (03/04) para corrigir a brecha no processamento de arquivos ANI. A falha afeta as mais novas versões do Windows (2000 SP4, XP SP2, 2003 SP2, Vista) e permite que páginas maliciosas instalem vírus sem que o usuário perceba que algo de errado ocorreu.

Um código malicioso para explorar a vulnerabilidade foi disponibilizado no site Milw0rm.com, um dos mais conhecidos repositórios do gênero. De acordo com o autor, o código funciona no Windows XP SP2 e no Vista, mesmo com UAC ativado. Outros sistemas também são afetados pela falha, mas o autor afirma não ter testado seu código para verificar o funcionamento.

A empresa de consultoria em segurança eEye lançou um “patch temporário” para o problema, mas, de acordo com o autor do código, a correção da eEye não funciona para proteger os usuários.

Existem relatos de que um worm que infecta páginas web com um código malicioso que tira proveito da brecha está se propagando na China. A McAfee também alertou no sábado (31/03) que criminosos enviaram milhares de e-mails contendo links para websites que tentam infectar o sistema usando a brecha.

“De acordo com nosso monitoramento da situação, nós podemos dizer que o número de ataques usando essa vulnerabilidade durante o fim de semana aumentou um pouco”, admitiu Christopher Budd, gerente da equipe responsável por responder a incidentes de segurança na Microsoft.

Budd adverte que o patch não está pronto e que, por este motivo, seu lançamento ainda pode ser adiado. “Nós ainda estamos testando [o patch] e continuaremos testando-o até o lançamento para garantir a maior qualidade possível. Então existe a possibilidade de que encontraremos algum problema que nos obrigará a adiar o lançamento”, explica Budd.

Apesar da vulnerabilidade ter se tornado pública na semana passada, a Microsoft tem conhecimento do problema desde dezembro, quando a empresa de segurança Determina a notificou da brecha. Arquivos .ani são cursores animados e uma falha no processamento destes arquivos, que acredita-se ser semelhante a esta, foi corrigida em janeiro de 2005 no boletim MS05-002.

A Microsoft só lança correções para falhas de segurança uma vez por mês, na segunda terça-feira. Os patches de abril deveriam ser lançados somente no dia 10. A Microsoft só faz exceções para falhas críticas, como esta, que já estejam em uso por criminosos digitais.

Anúncios

Escrito por Altieres Rohr

Jornalista e tradutor. Editor dos sites Linha Defensiva e Garagem 42 e colunista de Segurança Digital no portal G1 da Rede Globo.

2 comentários

  1. Acabou de sair fresquinha:

    http://www.microsoft.com/technet/security/bulletin/ms07-017.mspx?pubDate=2007-04-03

    Quem instalou o patch da eEye desinstala antes de instalar a oficial.

    Se bem que, com esse alarde, acho que vou deixar pra instalar daqui a uns 2 dias… bug…

    Curtir

    Responder

Deixe um comentário

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair /  Alterar )

Foto do Google+

Você está comentando utilizando sua conta Google+. Sair /  Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair /  Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair /  Alterar )

w

Conectando a %s