Patches da Microsoft em novembro/2007

Apenas duas correções de segurança foram lançadas pela Microsoft nesta terça-feira (13/11), a segunda terça-feira do mês — data marcada para a disponibilização de patches da gigante. Uma delas, de classificação “crítica”, corrige um bug no processamento de URIs. A outra atualização dificulta a realização de ataques de envenamento de cache em servidores de DNS Microsoft. Nenhuma das brechas corrigidas afeta o Windows Vista.

O boletim MS07-061 é importante para qualquer usuário, pois corrige uma brecha presente na maneira que o Shell do Windows interpreta alguns comandos. De acordo com a Microsoft, somente usuários de Internet Explorer 7 estão vulneráveis, mas, como o componente vulnerável é realmente o shell32.dll — que é parte do Windows –, a correção pode ser instalada em sistemas XP e 2003 que ainda usam o IE6.

O MS07-062, por sua vez, é importante apenas para administradores de sistemas que utilizem servidores DNS da Microsoft.

Com apenas dois boletins de segurança, novembro é um dos meses mais tranqüilos para usuários de produtos da Microsoft este ano. Em março, nenhum patch foi lançado pela empresa de Bill Gates, mas, dentre os meses em que pelo menos uma atualização foi lançada, novembro é o menos agitado deste ano.

Resumo dos boletins

• MS07-61: Trata da vulnerabilidade presente na forma que o Shell do Windows interpreta certos comandos. Ela possibilita que certos links, por exemplo, causem execução de código, ou seja, instalação de vírus. Inicialmente, a Microsoft negou que a responsabilidade pelo problema fosse sua, pois os comandos maliciosos necessariamente dependiam de programas de terceiros (como o Reader, da Adobe, o Trillian, o mIRC e outros). No entanto, quando o mesmo tipo de problema foi encontrado no Microsoft Outlook, a empresa mudou de posição.
• MS07-62: Informa a respeito de um problema no servidor de DNS da Microsoft. De acordo com o boletim, um invasor poderia obter informações que facilitariam a realização de um ataque de envenenamento de cache. A atualização faz mudanças que tornam os números de identificação das transações mais aleatórios, sendo assim mais difícil sua adivinhação pelo atacante.