O pacote de correções da Microsoft que chegou na segunda terça-feira de junho não trouxe mais nem menos do que o que foi anunciado pela empresa na semana passada: 6 boletins, sendo 4 deles críticos, que corrigem um total de 15 falhas distribuídas entre Office Visio, Windows e Internet Explorer.
O Internet Explorer é alvo de muitos ataques na Internet, pois websites maliciosos tiram proveito de brechas no navegador para instalar pragas digitais no sistema sem que o usuário receba caixas de download ou saiba o que está acontecendo. O boletim MS07-033 traz 6 novas correções ao navegador e a maioria delas, de acordo com a Microsoft, pode possibilitar “execução de código” que, na prática, significa que a falha pode ser usada para a instalação de vírus.
Apesar do Windows Vista ter recebido um patch no boletim MS07-032, a falha corrigida não é muito grave e só é útil para um invasor que já esteja logado no sistema.
O Windows Mail, equivalente do Outlook Express no Windows Vista, é o único afetado pela falha mais grave corrigida no boletim MS07-034. Esta brecha já é pública desde março e a Linha Defensiva informou na ocasião que ela é de difícil exploração. A Microsoft ainda não foi informada de nenhum ataque em que a brecha foi utilizada.
O boletim MS07-035 também merece atenção. Apesar de ser uma correção para o Windows, a brecha pode ser explorada por meio de páginas web, o que a torna mais interessante para os criminosos digitais. Usuários de Windows Vista não estão vulneráveis.
A melhor maneira de obter as correções é usando a função de atualização automática do Windows, que pode ser configurada no Painel de Controle. Um método alternativo é o uso do Microsoft Update, que é capaz de atualizar todos os softwares Microsoft instalados no sistema (com exceção do Office 2000, que neste mês não recebeu correções).
Resumo dos boletins
- MS07-030: Detalha duas falhas no Microsoft Office Visio que afetam as versões 2002 e 2003 do programa. Elas permitem que arquivos maliciosos do Visio, nos formatos .VSD, .VSS ou .VST, executem código malicioso, o que geralmente resultaria na instalação de vírus. Usuários de Visio que abrem arquivos terceiros devem aplicar a atualização.
- MS07-031: Trata de uma falha presente no Secure Channel (Schannel), um componente do Windows responsável pela implementação dos protocolos de segurança SSL (Secure Sockets Layer) e TLS (Transport Layer Security). A brecha é considerada crítica no Windows XP, inclusive no SP2, onde um website malicioso poderia ser capaz de instalar pragas digitais no sistema afetado. A brecha existe também nas versões 2000 e 2003 do Windows, mas apenas desativa o protocolo SSL (no Windows 2000) e força a reinicialização do sistema (2003), sendo considerada “Importante” nesses sistemas. O Windows Vista não é vulnerável.
- MS07-032: Uma falha de nível moderado afetando apenas o Windows Vista. A brecha permite que um usuário sem privilégios consiga acesso a informações que podem auxiliá-lo em sua tentativa de comprometer o sistema completamente. Um invasor precisa já estar “logado” para obter estas informações, o que diminui o impacto da falha.
- MS07-033: Correção cumulativa para o Internet Explorer que corrige 6 novas vulnerabilidades no navegador web, sendo que uma delas — que pode permitir que o conteúdo da barra de endereço seja falsificada — foi divulgada publicamente, isto é, instruções para tirar proveito da brecha já estão na Internet. A aplicação deste patch é obrigatória a todos os usuários de Internet Explorer. Somente o patch para o Internet Explorer 7 no Windows 2003 tem importância “moderada”; para todos os demais sistemas e versões do IE, o patch é crítico.
- MS07-034: Este boletim dá informações sobre quatro falhas. Todas afetam o Windows Mail no Windows Vista e três delas afetam o Outlook Express nas demais versões do Windows. A brecha que afeta somente o Windows Mail foi descoberta em março e é a única vulnerabilidade do grupo deste boletim que é considerada crítica. Todas as demais receberam uma classificação “Importante” ou menor e possibilitam apenas a revelação de informação ao indivíduo que estiver tentando comprometer o sistema.
- MS07-035: O patch divulgado neste boletim corrige uma falha na Win32 API, o conjunto de funções que o Windows fornece aos programas que são executados. Uma função específica, quando chamada por um programa, não é validada corretamente, o que poderia possibilitar que um website que force o Internet Explorer a utilizar esta função consiga instalar vírus no computador do usuário. A brecha não aumenta os privilégios do usuário logado. A aplicação deste patch, que afeta os Windows 2000, XP e 2003, é altamente recomendada.
Linha Defensiva 