Microsoft lança pacote recorde de atualizações de segurança

 

Por Robert McMillan, IDG News Service (San Francisco)

 
A Microsoft lançou nesta terça-feira (12/10) um pacote recorde atualizações de segurança. Ao todo, os updates corrigirão 49 bugs, presentes em produtos como o Windows, o Internet Explorer (IE) e o Office.

São 16 grupos de patches. A Microsoft diz que dois deles – uma correção para o Internet Explorer, presente no boletim MS10-071 e uma para o Windows, localizado no MS10-076 – devem receber prioridade.

Andrew Storms, diretor de operações da empresa de segurança digital NCircle, concorda que os dois updates citados acima devem ser prioridade, pois podem ser aproveitados em uma técnica chamada drive-by Internet attack. Neste tipo de ataque, um hacker pode induzir a vítima a visitar uma página Web que se aproveita da falha para instalar um programa malicioso na máquina do internauta.

O boletim MS10-71 corrige 10 bugs no Internet Explorer, sendo que dois deles são classificados como críticos.  Já o MS10-076 corrige uma falha crítica única no código Windows Embedded OpenType (EOT) Font Engine, usado pelo IE. As versões mais recentes do Windows incluem uma tecnologia de segurança chamada ASLR (Adress Space Layout Randomization) que torna mais difícil de explorar esse tipo de erro.

Logo, a  Microsoft acredita que os crackers estão mais propensos a desenvolver ataques para versões mais antigas do sistema operacional, como o Windows XP.

Uma outra atualização importante está no boletim MS10-077. Ela corrige um bug no Microsoft Net Framework, que afeta sistemas de 64 bits; já o boletim MS10-075, traz um update que corrige uma falha crítica no Windows Media Player Network Sharing Service, utilizado pelo Windows para compartilhar arquivos de música e outras mídias através da rede. Este serviço é ativado por padrão no Windows 7 Home Edition, mas um hacker teria que ser primeiro na rede local para lançar um ataque, disse a Microsoft.

Só porque as outras correções não são classificadas como críticas não significa que elas podem ser ignoradas. A Symantec diz que 35 dos 49 bugs corrigidos nesta terça-feira pode dar aos hackers uma maneira de rodar softwares não-autorizados no PC da vítima. A Microsoft afirma ainda que ataques também podem ser desenvolvidos para explorar algumas falhas com menor nível de importância.

De fato, uma das atualizações presentes no boletim  MS10-073 - classificada como importante pela Microsoft - corrige um bug do Windows XP que foi aproveitado pelos criadores do worm Stuxent. Este é o primeiro código malicioso, conhecido publicamente, a atacar sistemas industriais. Ele foi manchete durante a semana passada em meio a especulações de que foi projetado para atingir sistemas nucleares no Irã.

As correções podem ser baixadas automaticamente por meio do Windows Update. Se o usuário preferir, ele pode fazer o download dos updates no Microsoft TechNet Security.

 

 

 

CONECTE!!!

Microsoft libera patch de emergência para falha crítica no Windows

Por Gregg Keizer, Computerworld/US

Como prometido, a Microsoft liberou, nesta segunda-feira (2/08), uma atualização de emergência para uma falha crítica presente em todos os seus sistemas operacionais. E, como já era esperado, o patch não servirá para o Windows na versão 2000 e XP SP2, pois estes já tiveram o suporte técnico finalizado.

Segundo a companhia, em seu boletim de segurança, a atualização “validará corretamente os ícones referentes a atalhos”. Ela também avisa àqueles que utilizaram a medida preventiva recomendada pela própria empresa há duas semanas, para que desabilitem a função após a instalação. Entretanto, já há relatos na internet de usuários que afirmam que problemas só poderão ser evitados caso isso seja feito antes.

De acordo Jason Miller, da equipe de segurança da Shavlik Technologies, a atitude da Microsoft, por mais que já anunciada, surpreende pela proximidade à data usual de correções, em agosto.

“Não chega a ser incomum esse patch “out-of-band” (não previsto no cronograma), mas a próxima grande atualização estava marcada já para a próxima semana. Eu pensava que eles esperariam até lá”, afirmou. Para o especialista, a Microsoft estava temerosa que o número de ataques crescesse nos próximos dias, principalmente se outros vírus passassem a utilizar a mesma estratégia.

A atualização já está disponível no Windows Update para todas as versões do sistema operacional ainda suportadas pela empresa. Isso inclui desde o XP SP3 até o Windows 7, além dos destinados ao setor corporativo, como o Server 2003 e o 2008.

Em comunicado no blog do departamento de proteção a malware da Microsoft, observa-se que o Brasil foi o país mais atingido pelo Stuxnet, uma das pragas que se aproveitava da vulnerabilidade. Em segundo-lugar está os Estados Unidos e, em uma distante terceira colocação, a Indonésia.

 CONECTE!!!

Related articles by Zemanta

• Security Emergency at Microsoft, All Windows Users Are Vulnerable for Now (techrights.org)

Surgem mais três bugs de dia-zero para assombrar a Microsoft

 

Por Gregg Keizer, Computerworld/EUA

A Microsoft enfrenta uma leva de vulnerabilidades de dia-zero em alguns de seus softwares mais importantes, conforme revelações feitas recentemente de que há bugs não corrigidos em produtos como Windows XP, Internet Explorer e até em seu servidor web.

Além de uma vulnerabilidade divulgada por um inflamado grupo de pesquisadores de segurança que se autointitula ironicamente Microsoft Spurned Researcher Collective (MSRC - mesma sigla que identifica o grupo de segurança da Microsoft), a empresa foi informada de pelo menos três outras falhas nas últimas semanas.

Na terça-feira (6/7), o pesquisador Soroush Dalili publicou informações sobre uma vulnerabilidade no Internet Information Services (IIS), servidor web da Microsoft.

De acordo com Dalili, que trabalha como analista de segurança da informação na indústria de cassinos e jogos de azar, a autenticação em versões antigas do IIS pode ser burlada, dando aos invasores uma porta de entrada em qualquer esquema de assalto a um servidor web corporativo.

O bug pode ser explorado no IIS 5.1, mas não nas versões mais recentes IIS 6, IIS 7 ou IIS 7.5, informou Dalili.

Ameaça minimizada

A Microsoft afirmou que investiga a vulnerabilidade. Mas, tal como respondeu ao alerta de bug do grupo independente MSRC, a empresa minimizou a ameaça. “O IIS não é instalado como um serviço padrão; além disso, para se tornarem vulneráveis, os usuários teriam que mudar a configuração padrão”, disse Jerry Bryant, um gerente de grupo do Microsoft Security Response Center, por e-mail.

A rastreadora de vulnerabilidades Secunia classificou a ameaça como “moderadamente crítica” – uma nota intermediária em sua escala de cinco passos.

No começo da semana, Ruben Santamarta, um pesquisador da empresa espanhola de segurança Wintercore, divulgou informações sobre uma vulnerabilidade no Internet Explorer 8 (IE8) e publicou o código de ataque – a falha afeta o IE8 em uso nos sistemas Windows XP, Vista e Windows 7.

Santamarta afirmou que o bug poderia ser utilizado para contornar duas barreiras digitais embutidas no Windows, a Data Execution Prevention (DEP) e ASLR (Address Space Layout Randomization).

Bug premiado

As técnicas que burlam o DEP e o ASLR não são nada novas: em março, o pesquisador holandês Peter Vreugdenhil explorou uma vulnerabilidade no IE8 sobre Windows 7 com um código de ataque que passou por cima do DEP e do ASLR, uma façanha que lhe rendeu 10 mil dólares na quarta edição do concurso anual Pwn2Own.

A Microsoft também minimizou a questão levantada por Santamarta, o que não surpreendeu já que havia feito o mesmo ao comentar a invasão ocorrida na Pwn2Own.
“Não se trata de um contorno direto de ASLR, e só funciona sob certas condições”, disse Bryant. “Um invasor teria de usar isso em conjunto com uma vulnerabilidade não corrigida se quiser explorar um sistema.”

No mesmo e-mail, Bryant recusou-se a chamar o bug de vulnerabilidade de segurança. “Esta não é uma vulnerabilidade, mas uma técnica que atenua uma defesa”, disse.

Brecha na biblioteca

No mês passado, alguém identificado apenas como “fl0 fl0w” publicou código de exploração para uma falha em uma importante biblioteca usada para desenvolver programas de terceiros por meio do pacote de programação Visual Studio.

O bug na Microsoft Foundation Classes (MFC), um conjunto de bibliotecas de código que dá acesso às APIs do Windows em programas escritos em C++, pode ser explorado por meio de alguns softwares de terceiros escritos com Visual Studio. O usuário “fl0 fl0w” disse que seu código de ataque pode comprometer um PC com Windows via PowerZip, um utilitário de arquivamento de baixo custo.

A Microsoft disse que sua investigação preliminar mostrou que apenas que o Windows 2000 e o XP seriam vulneráveis ao ataque via MFC. “Nós temos investigado as denúncias (...) e os manteremos informados quando surgirem mais informações”, afirmou a empresa em sua conta oficial de segurança no Twitter, na segunda-feira (5/7).

Dedo da Google

Os quatro novos informes de falhas de dia-zero não são as únicas dores-de-cabeça para os engenheiros de segurança da Microsoft. Eles ainda não consertaram a falha crítica do Windows que foi publicada no mês passado por Tavis Ormandy depois que a Microsoft não se comprometeu com uma data para correção.

Ormandy, que trabalha para a equipe de segurança da Google, está no centro de um debate entre pesquisadores, que questionam sua decisão de tornar a brecha pública. O Microsoft-Spurned Researcher Collective foi formado justamente como reação à sugestão feita pela Microsoft de ligar as intenções de Ormandy a seu empregador.

Essa vulnerabilidade tem sido explorada ativamente por cibercriminosos desde 15 de junho.

A próxima publicação de correções da Microsoft, a chamada Patch Tuesday, está prevista para 13 de julho.

A empresa tem mantido os lábios cerrados sobre se irá ou não consertar a falha apontada por Ormandy.

Mas, a julgar pelo que já fez no passado, é bastante improvável que a Microsoft vá montar e testar correções para as outras falhas de dia-zero a tempo de serem incluídas no pacote de correções da semana que vem.

CONECTE!!!

Related articles by Zemanta

• Microsoft Draws The Ire Of Security Researchers (lockergnome.com)

Microsoft planeja pacote gigantesco de correções para seus programas

Por Gregg Keizer, Computerworld(EUA)

A Microsoft anunciou ontem (03/6) que liberará um pacote com 10 atualizações de segurança na próxima terça-feira (08/6). Os patches corrigirão 34 vulnerabilidades presentes no sistema operacional Windows, no navegador Internet Explorer, no pacote de aplicativos Office e na plataforma de colaboração para aplicações intranet Sharepoint. As correções também anula dois bugs que a empresa admitiu em fevereiro e abril deste ano.

Embora as 10 atualizações não sejam o recorde - em outubro de 2009 e fevereiro de deste ano, a Microsoft liberou 13 - o número de vulnerabilidades igualou o de outubro do ano passado.

A cada mês, a Microsoft tem alternado a lotes de grandes e pequenas correções, com atualizaçòes de maiores dimensões saindo em meses pares. Em maio, por exemplo, a empresa emitiu o boletim para a consertar apenas duas vulnerabildades. Em abril, no entanto, foram 11 boletins, que repararam 25 falhas.

Das dez atualizações de junho, três delas são consideradas de nível "crítico" e estão no topo do ranking de ameaças da empresa. Os sete restantes são 'ímportantes", ou seja, estão apenas um degrau abaixo na relação. 

Dois dos três updates críticos vão corrigir vulnerabilidades no Windows (XP, Vista, 2000 e 7) , enquanto o terceiro abordará o Internet Explorer (IE6, IE7 e IE8). Outros patches atuarão no Excel  para Windows (versões 2002, 2003 e 2007) e também no Excel para Mac (versões 2004 e 2010). Jerry Bryant, gerente geral do Microsoft Security Response (MSRC), declarou que o Excel 2010 não traz erros e não será incluído no pacote. Ele afirmou ainda que as atualizações também corrigirão falhas de segurança descobertas em fevereiro deste ano. Os bugs permitem que hackers explorem o IE a partir do Windows XP, podendo até mesmo ler todos os arquivos do PC da vítima.

O pacote corrigirá ainda um problema no SharePoint Server 2007, que foi divulgado pela Microsoft em abril deste ano, A brecha pode ser utilizada por crackers para roubar informações sigilosas das empresas que fazem uso da plataforma. A empresa informa ainda que estes updates serão os últimos voltados para o Windows 2000 e para o Windows XP Service Pack 2 (SP2), sendo que seus suportes de segurança serão destaivados em meados de julho.

CONECTE!!!

Related articles by Zemanta

• Microsoft to fix 34 holes in Windows, Office, IE (thaibrother.com)

Chrome já detém 6,13% do mercado

Por Guilherme Pavarin

O navegador Google Chrome aumentou sua participação pelo décimo mês seguido e encerrou março com 6,13% do mercado, de acordo com a NetApplications.

Para se ter uma idéia do avanço do embrião do Chrome OS, o navegador do Google não passava de 2,18% de presença no mercado em maio de 2009. A partir de então, passou a crescer pouco a pouco e, já no fim do ano, saltava em torno de 0,4 pontos percentuais por mês.

De fevereiro para março, todavia, o pulo foi maior que a média: 0,52 pontos percentuais - de 5,61% para 6,13%.

A aposta dos analistas é que o browser do Google tenha se beneficiado com suas versões para Mac OSX e Linux, lançados no fim do ano passado, e com uma tática mais agressiva da empresa de Mountain View ao promover o Chrome junto a seus produtos.

Por razões óbvias, o progresso do Google Chrome trouxe consequências para os navegadores concorrentes; no mesmo período em que sua popularidade cresceu, a participação do líder Internet Explorer, por exemplo, encolheu de 68,10% para 60,65%.

Ainda assim, a relação entre a queda do IE e a ascensão do Chrome não é tão direta quanto parece. Isso porque Firefox, Safari e Opera também ganharam mercado nos últimos dez meses.

Em março, Firefox deteve 24,52% de participação, Safari 4,65% e Opera 2,37%. No mês de maio do ano passado, os valores eram, respectivamente, 22,75%, 2,70% e 2,06%.

O que a pesquisa sugere é que o uso das versões anteriores do navegador da Microsoft estão diminuindo e nem todas estão sendo renovadas para o IE 8, o mais atual e que, sozinho, corresponde a 18,4% de todo o mercado.

Para os analistas da NetApplications, o Chrome pode chegar a 10% do mercado de navegadores até o fim do ano, sobretudo pela chegada dos netbooks com Chrome OS.

Por outro lado, ainda há a ameaça do Internet Explorer 9, que, de acordo com a Microsoft, será mais rápido e poderoso – e sem compatibilidade com o Windows XP, ao que parece.

A NetApplications monitorou 40 mil sites e 160 milhões de visitantes únicos.

CONECTE!!!

Related articles by Zemanta

• Chrome Growing in Popularity Faster Than Rival Browsers (mashable.com)

Windows 7 vende 90 milhões de cópias

Por Fabiano Candido

A Microsoft anunciou na última semana que já vendeu 90 milhões de cópias do Windows 7 desde que foi lançado, há 5 meses.

O sistema operacional tem um desempenho de vendas melhor que o Windows Vista.

O Windows 7, dizem analistas, deverá ter um novo boom de vendas. Isso deve acontecer ainda este ano, quando o service Pack 1. Grandes corporações  esperam essa atualização para comprar, de uma só vez,  milhares de licenças.

O diretor financeiro da empresa, Peter Klein, lembrou que o fim da crise mundial deverá contribuir para as empresas investirem em um novo parque de desktops. Esse computadores, diz ele, serão equipados com o Windows 7.

CONECTE!!!