Vídeo: Windows 10 Patch Management Done Right | The Redmond Series, Episode 4 (Novembro 2024)
A Microsoft anunciou 11 boletins de segurança para o lançamento de Patch Tuesday de dezembro, corrigindo 24 vulnerabilidades no software da Microsoft, incluindo Microsoft Windows, Internet Explorer, Office e Exchange. Embora a Microsoft não resolvesse a falha de dia zero no XP / Server 2003 descoberta em novembro, ela corrigiu o bug TIFF que afetava o sistema de mensagens corporativas do Windows, Office e Lync.
Cinco dos boletins são classificados como "críticos" e os seis restantes são considerados "importantes". Crítico nesse caso significa que, se explorado, a vulnerabilidade permitirá que o invasor execute o código remotamente. Importante neste contexto significa que a vulnerabilidade pode resultar no comprometimento dos dados do usuário ou na interrupção de certos processos. A Microsoft recomenda que os patches críticos sejam aplicados imediatamente e os patches importantes "na primeira oportunidade".
"Como a última tempestade tropical tardia da temporada, a Microsoft está dando um último golpe nas equipes de segurança e TI", disse Ross Barrett, gerente sênior de engenharia de segurança da Rapid7.
O dia zero que foi corrigido
O problema de dia zero do Componente de gráficos afetou o Windows Vista, Windows Server 2008, Office 2003/2007/2010 e Lync 2010/2013. Essa vulnerabilidade pode ser explorada ao visualizar ou abrir uma imagem TIFF criada com códigos maliciosos e ataques ativos direcionados com êxito ao Office 2010 em sistemas XP. Esse bug foi corrigido no boletim MS13-096, disse Dustin Childs, gerente de grupo da Microsoft Trustworthy Computing.
Usuários e administradores devem tratar esse patch como a principal prioridade, mesmo que tenham instalado o hotfix em novembro, disse Paul Security, analista forense da Lumension, à SecurityWatch. "Como sabemos que convencer os usuários a clicar nem sempre é tão difícil de fazer, um patch para esse é definitivamente bem-vindo", disse Henry.
Muitas correções para o Internet Explorer
O próximo patch de prioridade deve ser o MS13-097, a atualização cumulativa para o Internet Explorer. Este boletim esmaga sete bugs. Embora esses problemas não estejam sendo direcionados no momento, muitos criadores de malware gostam de fazer engenharia reversa dos patches para criar novas explorações. Isso significa que os usuários que não atualizam o IE prontamente podem ser pegos por uma dessas explorações.
Um dos erros corrigidos no patch do IE afeta todas as versões suportadas do Internet Explorer, alertou Marc Maiffret, CTO da BeyondTrust. "Coloque esse adesivo o mais rápido possível", ele disse.
O boletim que corrige um problema na biblioteca de objetos em tempo de execução da Microsoft (MS13-099) também deve ser considerado de alta prioridade, porque esse componente do Windows é distribuído com todas as versões do sistema operacional. Os invasores podem explorar a falha pelo navegador da Web iniciando um ataque drive-by e induzindo o computador da vítima a executar código malicioso, alertou Maiffret.
Problema na validação da assinatura
A Microsoft corrigiu o problema no mecanismo de validação de assinatura WinVerifyTrust (MS13-098) presente em todas as versões suportadas do Windows. Os invasores podem tirar proveito dessa falha para modificar um programa assinado sem invalidar a assinatura do programa. Os usuários pensariam que o executável era um programa legítimo, porque tinha uma assinatura legítima quando, na realidade, continha código malicioso, disse Maiffret.
Já foram observadas explorações direcionadas a essa vulnerabilidade, tornando a implantação desse patch também uma prioridade.
Bug do Exchange no Outlook Web Access
O boletim do Microsoft Exchange (MS13-105) soluciona problemas com o Outlook Web Access (OWA) e está relacionado ao componente Outside-In do Oracle. Esse patch ocorre depois que a Oracle lançou uma nova versão do componente em sua Critical Patch Update em outubro. Os invasores podem explorar esses bugs enviando um documento malicioso por email. Os invasores podem assumir o controle de todo o servidor de e-mail depois de induzi-lo a visualizá-lo, disse Wolfgang Kandek, CTO da Qualys. "Se você usa o OWA em sua configuração, o MS13-105 é um patch importante para sua organização", disse Kandek.
Corrigindo o Adobe Flash
A empresa também lançou outros quatro avisos, um dos quais atualizou o Adobe Flash Player no Internet Explorer. Hoje, a Adobe corrigiu duas vulnerabilidades no Flash Player 11.9.900.153 e nas versões anteriores do Windows e Mac OS X. Um dos problemas está sendo direcionado atualmente, segundo a Adobe. A Microsoft lançou seu comunicado porque inclui o Flash Player na versão mais recente do Internet Explorer, semelhante ao que o Google faz com o navegador Chrome.
Outro comunicado da Microsoft abordou um importante problema relacionado à autenticação que afeta os aplicativos ASP.NET. Os desenvolvedores de aplicativos.NET precisam prestar atenção aos avisos para garantir que seus aplicativos não sejam afetados.
"Vai ser um mês agitado para todas as equipes envolvidas aqui, felizes para corrigir todos", disse Barrett.
