A Microsoft disponibilizou o seu pacote mensal de atualizações na semana passada, com 9 boletins corrigindo 11 falhas que já foram publicadas e anunciou que 2 brechas ainda não divulgadas — mas já em uso por criminosos — ficaram sem correção por enquanto.
Uma das atualizações afeta o IIS (Serviço de Informação da Internet), outra corrige 3 vulnerabilidades no Office XP, 2003 e 2007, respectivamente, e as demais corrigem falhas no Windows Server 2003 e 2008, XP, Vista e 7, 32 e 64 bits.
As vulnerabilidades que foram consideradas como críticas estão relacionadas ao compartilhamento de impressoras, codec MPEG4, Outlook Express e processamento de fontes no Office. A brecha no serviço de impressão foi explorada em julho pelo Stuxnet, um virus que tinha como alvo computadores que contivessem um determinado sistema, usado pela indústria para automação do seu maquinário. Segundo a Microsoft, esse virus explorava também outras 2 brechas não divulgadas, e que serão corrigidas no próximo pacote de atualizações.
O Stuxnet também explorou uma vulnerabilidade em arquivos .LNK (extensão de arquivos de atalho), a qual permite que um arquivo de atalho, armazenado em um pendrive e especialmente criado com código malicioso seja automaticamente executado pelo Windows Explorer, no momento que o pendrive for inserido na USB, sem precisar de nenhuma ação do usuário. Essa falha já foi corrigida pela Microsoft em uma atualização de emergência.
Embora o Stuxnet tenha sido programado para espionagem industrial, nada impede que outros criminosos passem a explorar a mesma técnica para infectarem computadores através de dispositivos USBs.
A brecha corrigida no codec MPEG4 permite que um código malicioso seja automaticamente executado se o usuário abrir um arquivo de video especialmente modificado para esta finalidade. Se este usuário estiver logado no sistema com uma conta de administrador, o invasor poderá obter controle total do sistema afetado.
As vulnerabilidades que foram classificadas como “importantes” estão relacionadas a autenticação de login, elevação de privilégios e negação de serviço.
Linha Defensiva 