Dos 7 boletins prometidos para a “Terça-feira dos Patches” de outubro (09/10), 6 foram lançados pela Microsoft. Pelo segundo mês consecutivo, um boletim foi cancelado pela gigante. Os 6 boletins lançados corrigem um total de 9 falhas, sendo 4 delas no Internet Explorer, uma no Word, outra no SharePoint Services, uma no Visualizador de Imagens Kodak, uma no Outlook Express e uma última no Windows.

Os boletins mais importantes do mês são o MS07-056, que corrige uma falha crítica no Outlook Express e no Windows Mail do Windows Vista (onde é apenas “importante”) e o MS07-057, que traz um patch cumulativo para o Internet Explorer. De acordo com a Microsoft, uma página web maliciosa pode tirar proveito do problema presente no Outlook Express, o mesmo que ocorre com as brechas do Internet Explorer, e este tipo de falha é comumente usada por criminosos para a instalação de vírus, pois basta convencer o usuário a visitar uma página web.

Outro motivo para preocupação pode ser a falha tratada pelo boletim MS07-058, que pode ser explorada remotamente. Uma simples mensagem enviada pela rede pode travar um sistema Windows que não tenha o patch aplicado.

Os 4 patches críticos prometidos foram pela Microsoft foram lançados, mas um “Importante” foi cancelado. O boletim cancelado foi aparentemente o que corrigia uma brecha nos Windows 2000 e 2003, pois nenhuma das correções lançadas se aplica somente a estes sistemas.

As atualizações podem ser baixadas por meio do Microsoft Update ou da atualização automática, configurável por meio do Painel de Controle.

Resumo dos Boletins

  • MS07-055: Uma vulnerabilidade crítica presente no Visualizador de Imagens Kodak pode possibilitar que a visualização de uma imagem cause execução de código (instalação de vírus) no Windows 2000. Os Windows XP e 2003 também podem ser afetados pela falha, mas somente se eles forem instalados como “atualização” de um sistema Windows 2000; caso contrário, a brecha não está presente nestes sistemas.
  • MS07-056: Conserta uma brecha presente no Windows Mail (Vista) e no Outlook Express (demais versões do Windows). De acordo com a Microsoft, a falha pode ser explorada por uma página web maliciosa, ou seja, mesmo quem não utiliza os programas afetados precisa instalar este patch, que é considerado “crítico” para todas as versões do Windows, com exceção do Vista.
  • MS07-057: Patch cumulativo para o Internet Explorer. O boletim informa sobre três novas falhas presentes no navegador da Microsoft, sendo duas delas relacionadas a falsificação dos dados presentes na Barra de Endereços. A outra, mais grave, é um erro de corrupção de memória que, se usado, pode resultar na infecção do sistema após uma simples visita a uma página web. (Uma das brechas neste boletim possui dois CVEs associados (CVE-2007-1091 / CVE-2007-3826), portanto 4 falhas são contadas. A própria Microsoft admite, no início do boletim, que o mesmo corrige “três vulnerabilidades informadas em particular e uma vulnerabilidade divulgada publicamente”)
  • MS07-058: Atualização “importante” que elimina uma falha de Negação de Serviço (Denial of Service) no serviço de Chamada de Procedimento Remoto (Remote Procedure Call — RPC). Usando esta brecha, um indivíduo malicioso pode forçar um sistema Windows a falhar e reiniciar. De acordo com a Microsoft, o problema é menos grave no Windows 2000, onde o sistema não reinicia, mas informações são reveladas ao atacante.
  • MS07-059: Elimina uma falha presente no Windows SharePoint Services 3.0 (Windows 2003) e no SharePoint Server 2007 (Office). Usando esta vulnerabilidade, um invasor pode conseguir elevação de privilégio (nível de acesso maior).
  • MS07-060: Uma atualização para o Microsoft Word. O patch pode ser aplicado nas versões 2000, XP e 2004 para Mac, mas o Office 2003 não é vulnerável. Esta brecha já foi utilizada em alguns “ataques direcionados”: usando falhas no Word, invasores podem convencer as vítimas a abrirem os arquivos facilmente.
Anúncios

Escrito por Altieres Rohr

Jornalista e tradutor. Editor dos sites Linha Defensiva e Garagem 42 e colunista de Segurança Digital no portal G1 da Rede Globo.

Deixe um comentário

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair /  Alterar )

Foto do Google+

Você está comentando utilizando sua conta Google+. Sair /  Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair /  Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair /  Alterar )

w

Conectando a %s