Conforme a Microsoft havia prometido, um patch fora de ciclo foi lançado hoje (03/04) para corrigir a falha no processamento de arquivos ANI. A brecha, que foi descoberta em pleno uso na semana passada, permite a instalação de vírus no sistema por meio de uma página maliciosa e afeta até o Windows Vista.
O boletim de segurança MS07-017 corrige outras 6 vulnerabilidades, a maioria menos grave do que a brecha no processamento dos cursores animados. Para instalar o patch, recomenda-se o uso do Windows Update.
Um patch tão rápido só foi possível porque a Microsoft tinha conhecimento da falha desde dezembro de 2006, quando a empresa de segurança Determina descobriu que um patch de segurança não corrigia completamente uma falha no processamento dos cursores animados.
Mesmo assim, duas correções alternativas foram lançadas antes do patch da Microsoft. Uma foi feita pela empresa de consultoria eEye, mas o autor de um código que explora a falha afirmou que esta correção não era suficiente para proteger o sistema contra seu código. Outro patch foi lançado pelo grupo independente ZERT, mas existem relatos de problemas de estabilidade. O patch do ZERT é o único disponível para Windows 98.
O patch da Microsoft devia ser lançado normalmente como parte do ciclo de abril, mas códigos maliciosos descobertos na semana passada já estavam tirando proveito da falha e não havia solução disponível. Um worm se espalhou na China colocando o código em qualquer arquivo HTML no disco rígido, enquanto a McAfee detectou e-mails que tentavam fazer o usuário acessar sites que exploravam a brecha.
Em todos os casos, acessar os sites maliciosos com qualquer versão do Internet Explorer nos Windows 2000 SP4, XP SP2, 2003 (Gold, SP1, SP2) ou Vista causaria uma instalação silenciosa de pragas digitais no computador. A brecha é a primeira do tipo que afeta o Windows Vista.
Vulnerabilidades deste gênero são muito utilizadas por criminosos digitais, que invadem websites conhecidos e inserem neles códigos para explorar a falha. Mesmo um usuário cuidadoso que não visita sites considerados “duvidosos” poderia ser afetado.
Os patches de abril deveriam ser lançados apenas no dia 10. Em março, a Microsoft não publicou nenhum boletim de segurança.
Linha Defensiva 