Categoria: Windows

2007 mal começou, o carnaval nem tinha chegado, e as correções de vulnerabilidades no Windows e outros produtos Microsoft já “desfilavam em blocos na passarela” das atualizações de segurança.

Em janeiro de 2007, foram lançadas três atualizações classificadas como críticas e uma, específica para o Brasil, como importante. Todas corrigem vulnerabilidades que poderiam permitir a execução de código remoto:

• MS07-001 – Microsoft Office 2003 (KB921585), verificador gramatical em Português do Brasil no Office 2003 SP2 [Importante];
• MS07-002 – Microsoft Excel (KB927198) (2000 e superiores);
• MS07-003 – Microsoft Outlook (KB925938) (2000 e superiores);
• MS07-004 – Microsoft Internet Explorer (KB929969), Vector Markup Language (IE5.01/6 em Windows 2000 e IE7 em Windows XP/2003).

Em fevereiro, seis atualizações críticas e mais seis importantes. Das seis críticas, cinco são para componentes específicos do Windows e Office e uma é Atualização Cumulativa de Segurança do Internet Explorer; todas corrigem vulnerabilidades que permitiam a execução de código remoto:

• MS07-008 – corrige HTML Help ActiveX Control (KB928843);
• MS07-009 – Microsoft Data Access Components (KB927779);
• MS07-010 – Microsoft Malware Protection Engine (KB932135);
• MS07-014 – Microsoft Word (KB929434);
• MS07-015 – Microsoft Office (KB932554);
• MS07-016 – Cumulative Security Update for Internet Explorer (928090).

As seis importantes também corrigem vulnerabilidades, duas que poderiam causar elevação de privilégio indevida — MS07-006 (KB928255) e MS07-007 (927802) — e quatro que poderiam permitir execução de código remoto mediante interação do usuário — MS07-005 (KB923723), MS07-011 (KB926436), MS07-012 (KB924667) e MS07-013 (KB918118).

Como sempre, quem tem Windows com a Atualização Automática ativada recebeu prontamente estas correções de vulnerabilidades de segurança.

Chega então o Carnaval, onde devem ser aplicadas por todos as devidas “regras de segurança”: use camisinha e maneire nas bebidas alcoólicas. Bom Carnaval!

Para saber mais:

• Correções de Segurança Acumulativas para Internet Explorer, Microsoft Security Bulletin MS07-016, Alerta do CAIS RNP em 13/02/2007.
• Microsoft Security Bulletin Summary for January, 2007 (em inglês), 10/01/2007, Microsoft TechNet (informação técnica para profissionais de TI).
• Microsoft Security Bulletin Summary for February, 2007 (em inglês), 12/02/2007, Microsoft TechNet (informação técnica para profissionais de TI).
• Atualizações de segurança da Microsoft de janeiro de 2007, 9/01/2007, Microsoft Brasil (informação para usuários domésticos). Nota engraçada: a data de publicação do alerta diz ser 1º de setembro de 2007 :-).
• Microsoft security updates for February 2007 (em inglês), 13/02/2007, Microsoft (informação para usuários domésticos).
• Microsoft releases six critical security bulletins for February (em inglês), por John McCormick, 16/02/2007, artigo no portal TechRepublic.

O Boletim de Segurança Microsoft nº MS07-004 publicado hoje, Vulnerability in Vector Markup Language Could Allow Remote Code Execution (929969), alerta sobre uma nova vulnerabilidade de segurança descoberta pela Microsoft, que afeta todos os usuários das versões suportadas de Windows (2000, XP e 2003) e de Internet Explorer (5, 6 e 7).

Para todos os sistemas suportados, já existe atualização crítica disponível que corrige o problema e a Microsoft recomenda a atualização imediata por todos os usuários. Quem tem a Atualização automática do Windows ativada — medida altamente recomendada a todos — já deve ter recebido hoje mesmo a atualização em seu computador, garantindo sua segurança o quanto antes.

A falha, existente na implementação da Microsoft do mecanismo para Linguagem de Marcação Vetorial — Vector Markup Language (VML) — em Windows potencialmente permitiria que um atacante mal-intencionado a explorasse para conseguir executar código remoto, se um usuário visualizasse uma página Web ou mensagem eletrônica especialmente preparada. Se bem sucedido, o atacante poderia tomar o controle completo do sistema afetado.

É um tipo de falha na programação de ocorrência relativamente comum e difícil de se detectar, principalmente em sistemas grandes e complexos, cheios de componentes, módulos e recursos. Porém, pode ter conseqüências graves como ameaça à segurança do sistema instalado. Algumas vezes, tal falha pode ser igualmente difícil de se explorar com sucesso, por malfeitores.

A Microsoft agradeceu o trabalho de Jospeh Moti trabalhando no Programa de Contribuição iDEFENSE Labs — entidade que oferece desafios premiados para pesquisadores independentes encontrarem vulnerabilidades de segurança em sistemas — que reportou a vulnerabilidade de estouro de buffer no VML (CVE-2007-0024).

Grave ou não, o fato é que a falha foi prontamente corrigida pela Microsoft, após reportada, e a solução para se proteger é simples: aplicar (sempre) as devidas atualizações críticas do Windows.

Se você utiliza Microsoft Windows, certifique-se que as Atualizações Automáticas estão ativadas. No Windows XP e 2003, esta opção pode ser encontrada em Painel de Controle » Central de Segurança » Atualizações automáticas.

A maioria dos usuários têm instalado em seu microcomputador o Flash Player da Adobe (anteriormente Macromedia), especialmente para executar as animações interativas em formato Flash, muito comuns em páginas na Internet. O Microsoft Windows já traz o plugin-in ActiveX para Internet Explorer do Adobe Flash Player versão 6 na instalação do Windows XP.

Atualmente, o Flash Player está na versão 9 (exatamente 9.0.28.0, quando este artigo foi escrito) e é distribuído gratuitamente pela Adobe, disponível para Windows e Macintosh, e compatível com todos os principais navegadores Internet. Nota: o suporte a Linux, Solaris e versões antigas do Windows (98 e NT) cessou na versão 7 e não tem evoluções.

O que muitos não sabem é que em 12 de setembro deste ano, a Adobe divulgou um alerta informando que foram identificadas múltiplas vulnerabilidades de segurança no Adobe Flash Player 8.0.24.0 e versões anteriores. O alerta classifica as falhas como críticas e recomenda a todos os usuários atualização imediata para a versão 9 mais recente. Em sistemas onde não for possível atualizar para a versão 9, está disponível uma Nota técnica sobre atualização do Flash Player, que oferece uma atualização alternativa 7r68 para download.

Em 14 de novembro, a Microsoft também alertou sobre a vulnerabilidade do Flash Player 6 distribuído com o XP Service Pack 2 e passou a oferecer download de atualização para esta versão. O alerta foi propagado no dia 15 também pelo CAIS, o Centro de Atendimento a Incidentes de Segurança mantido pela RNP Brasil. Quem já atualizou para a versão 9 mais nova do Flash Player como recomendado, porém, não precisa da atualização da Microsoft.

• Centro de download do Adobe Flash Player.
• About Flash Player, página que identifica se você tem o Flash Player instalado e qual sua versão.