Microsoft publica correção de emergência para IE na terça (30/3)

A Microsoft informou nesta segunda-feira (29/3) que irá publicar uma atualização de emergência para o Internet Explorer com o objetivo de corrigir uma vulnerabilidade de dia zero que tem sido usada para conduzir ataque nas últimas semanas.
O Patch Tuesday desta terça-feira (30/3) é a segunda nos últimos três meses que a empresa faz e que foge ao seu calendário normal de correções, que acontece na segunda terça-feira de cada mês. Em janeiro, a Microsoft publicou uma correção no IE para corrigir oito vulnerabilidades, incluindo uma que vinha sendo usada para atacar a rede de empresas, incluindo o Google e a Adobe.
“Este boletim está sendo liberado para endereçar ataques contra clientes das versões 6 e 7 do Internet Explorer”, informou a empresa no blog do Technet.
E, como em janeiro, a atualização de amanhã irá corrigir apenas a vulnerabilidade de diz zero. Na realidade, ela irá tapar alguns buracos cruciais existentes em todas as versões do navegador, incluindo a mais recente, o IE8. “Este boletim não programado é uma atualização cumulativa de segurança para o Internet Explorer e também irá corrigir vulnerabilidades consideradas críticas em todas as versões do navegador que não estão relacionadas a este ataque”, informou a empresa.
A Microsoft alertou os usuários sobre a vulnerabilidade do IE6 e IE 7 em 9/3, informando, na época, que o bug não afetava nem a versão mais antiga (IE5) nem a mais recente do navegador (IE8). A empresa informou que os ataques eram direcionados, termo usado para designar ações em pequena escala.
Em apenas dois dias, crackers utilizaram a falhar para conduzir ataques a partir de sites maliciosos e um pesquisador israelense publicou o código de exploração da vulnerabilidade na web.
O anúncio de hoje pegou muitos pesquisadores de surpresa. “Pensei que fosse levar mais tempo”, afirmou o chefe tecnologia de segurança da Qualys, Wolfgang Kandek. “Mas, ao divulgar a correção agora, a Microsoft sugere existir um razão muito forte para não aguardar até o próximo Patch Tuesday [13/4]. É provável que eles tenham notado um aumento no número de ataques”.
O diretor de segurança de operações da nCircle Network Security, Andrew Storms, concorda. “Não estava esperando por isso, ainda mais porque Microsoft emitiu o aviso a menos de um mês. Eles não alteram seu calendário salvo quando há uma razão muito forte para isso”.
Como Kandek, Storms entende que a Microsoft acelerou a liberação desta atualização cumulativa do IE porque deve ter percebido um aumento no número de ataques explorando a vulnerabilidade de dia zero.
Storms acredita que a Microsoft pode corrigir ainda outras vulnerabilidades no navegador, levando em conta os recentes alertas de segurança emitidos este ano. Em fevereiro, a Microsoft informou sobre um bug no IE rodando no Windows XP que poderia ser usado por criminosos virtuais para acessar arquivos no PC; e, no início deste mês, a empresa pediu para usuários do XP não pressionarem a tecla F1 (auxílio) quando solicitada por qualquer site, indicando uma falha ainda não corrigida que poderia abrir o computador para o controle de crackers.
A atualização do Internet Explorer desta terça-feira (30/3) se aplica a todas as versões do navegador – IE 5.01; IE 6; IE 7 e IE 8 – rodando em todas as versões do Windows 2000, XP, Vista, Server 2003, Server 2008, Windows 7 e Server 2008 R2.
Caso siga seu ritual, a correção será liberada pela Microsoft por volta das 17h.