Microsoft corrige falha de 17 anos no Windows

A Microsoft anunciou nesta sexta-feira que um bug (falha de segurança) do Windows que surgiu há 17 anos finalmente vai ser reparado na sua próxima atualização de segurança.

A atualização de fevereiro para o Windows vai fechar uma brecha de segurança do sistema operacional DOS. A primeira vez que a vulnerabilidade apareceu foi no Windows NT 3.1. Desde então ela foi passada para frente em quase todas as versões do Windows.

O antigo bug foi descoberto por um pesquisador do setor de segurança do Google, Tavis Ormdandy, em janeiro de 2010 e envolve uma ferramenta que permite que novas versões do Windows executem programas que datam ainda da era do DOS.

Ormandy encontrou uma forma de explorar esta ferramenta no Windows XP, Windows Server 2003 e 2008 e também no Windows Vista e no Windows 7.

Outras falhas
 

A atualização mensal de segurança da Microsoft também deverá consertar outras 25 falhas no Windows, cinco delas consideradas "críticas".

Estas cinco falhas críticas permitem que hackers consigam "sequestrar" um computador com o Windows e usar seus programas neste computador. Além de consertar falhas em muitas versões do Windows, a atualização de fevereiro também vai lidar com bugs no Office XP, Office 2003 e Office 2004 para máquinas da Apple.

Esta atualização não é a maior já lançada pela Microsoft. A gigante do setor de softwares lançou uma atualização em outubro de 2009 que consertou 34 falhas, oito delas consideradas críticas.

Em janeiro de 2010 a Microsoft fez um reparo para uma vulnerabilidade grave no navegador Internet Explorer, que estava sendo usada por hackers. Esta vulnerabilidade teria sido a mesma usada para atacar o Google na China.

Depois do ataque contra o Google, muitos outros criminosos online começaram a procurar formas de explorar esta brecha na segurança. Nesta semana um outro especialista do setor de segurança relatou a descoberta de uma falha de segurança no Internet Explorer que permite que hackers vejam os arquivos mantidos no computador da vítima.

A Microsoft divulgou um boletim de segurança a respeito do problema e pretende consertar esta falha no futuro. No momento, ainda não há provas de que esta última brecha na segurança do Explorer já esteja sendo usada online.

Fonte: Terra Tecnologia

Bug em roteadores D-Link pode abrir tela de configuração a invasores

Dos seis modelos afetados, três - DIR-615, DIR-635 e DIR-655 - são vendidos pelo canal formal da empresa no Brasil.

O fabricante de roteadores D-Link admitiu nesta sexta-feira (15/1) que alguns de seus roteadores têm uma vulnerabilidade que pode permitir a hackers o acesso às configurações de administração do aparelho. A empresa de Taiwan afirmou que já publicou correções para as brechas.

De acordo com uma nota de 9/1 publicada no blog da SourceSec Security Research, alguns roteadores da D-Link têm uma implementação insegura do protocolo de administração de rede doméstica (HNAP, na sigla em inglês), o que poderia permitir a uma pessoa não autorizada mudar as configurações do roteador (posteriormente, a nota foi retirada do ar).

A SourceSec publicou uma ferramenta chamada HNAPOwn, que serve de prova-de-conceito e que poderia facilitar a invasão - uma ação que foi criticada pela D-Link. "Ao publicar suas ferramentas e dar instruções específicas, os autores do relatório delinearam publicamente como a segurança poderia ser violada, o que poderia ter sérias consequências para nossos clientes", afirmoju a D-Link em comunicado.

A fabricante disse apenas que parecia ser possível invadir os roteadores usando a ferramenta de software divulgada, mas não simplesmente com o código publicado.

Opiniões diferentes

A D-Link e a SourceSec têm opiniões divergentes sobre os modelos vulneráveis. A SourceSec escreveu que suspeita de todos os roteadores D-Link fabricados desde 2006, com suporte a HNAP. Mas eles admitiram não ter testado todos eles.

Já a D-Link informou que os modelos afetados são o DIR-855 (versão A2), DIR-655 (versões A1 a A4) e DIR-635 (versão B). Três modelos descontinuados - DIR-615 (versões B1, B2 e B3), DIR-635 (versão A) e DI-634M (versão B1) - também são afetados. A empresa informa que novas atualizações de software têm sido oferecidas em seus sites na web. Dos modelos afetados, três - DIR-615, DIR-635 e DIR-655 - são vendidos pelo canal formal da D-Link no Brasil.

A subsidiária brasileira da empresa informou, por meio de sua assessoria de comunicação, que aguarda orientação da matriz para a publicação, no site local, da correção para a falha.

Fonte: PCWord

Ataque ao Google aproveitou falha em navegador da Microsoft

Foram instalados programas espiões em computadores das empresas. Hackers designaram ataques como ‘Operação Aurora’.

Recentes e sofisticados ciberataques contra o Google e outras empresas exploraram uma falha até agora desconhecida no navegador Internet Explorer, da Microsoft. O ponto fraco no navegador mais utilizado no mundo foi identificado pela empresa de segurança na computação McAfee, e posteriormente confirmado pela Microsoft.

O Google anunciou na terça-feira (12) que detectou, em dezembro, um ataque originado na China à sua infraestrutura empresarial, resultando em roubo de propriedade intelectual. A empresa veio a descobrir que mais de 20 outras companhias presentes no país também sofreram infiltrações.

A McAfee informou na quinta-feira (14) que os responsáveis pelos ataques enganaram funcionários das empresas, fazendo-os clicar em links que direcionavam para um site que instalou secretamente um programa de espionagem em seus computadores, em uma campanha a que os hackers aparentemente designaram
"Operação Aurora".

"Jamais vimos ataques dessa sofisticação no espaço comercial. Só os havíamos visto anteriormente no espaço governamental", disse Dmitri Alperovitch, vice-presidente de pesquisa da McAfee.

A Microsoft posteriormente confirmou o problema e enviou um alerta aos usuários, esperando reduzir o problema. A companhia trabalha para desenvolver uma atualização para o Internet Explorer para evitar novos ataques. "A empresa determinou que o Internet Explorer foi um dos vetores usados em ataques dirigidos e sofisticados contra o Google e outras redes empresariais", afirmou a Microsoft.

A maior produtora mundial de software afirmou que o uso do Internet Explorer em "modo protegido", com os controles de segurança em nível "alto", limitaria o impacto do problema. "Precisamos encarar com seriedade todos os ataques à computação, não apenas esse", disse Steve Ballmer, presidente-executivo da Microsoft, em entrevista à CNBC. "Temos toda uma equipe que responde em tempo verdadeiramente real a qualquer denúncia que possa ter algo a ver com o nosso software”.

Segundo a McAfee, os programas permitiam a tomada de controle de computadores sem que seus donos soubessem.

O Internet Explorer é vulnerável em todas as recentes versões do Windows, incluindo a nova Windows 7, segundo a McAfee. A Microsoft afirma que os ataques têm sido limitados ao Internet Explorer 6, uma versão mais antiga do aplicativo.

Fonte: G1

Microsoft adia correção de bug que pode travar Windows 7

Pacote de atualizações previsto para a próxima terça-feira (12/1) terá apenas uma correção, para um bug que só é crítico para Windows 2000.

A Microsoft afirmou nesta quinta-feira (7/1) que vai liberar na próxima terça-feira (12/1) apenas uma atualização de segurança, que corrige uma única vulnerabilidade do Windows.

Ao mesmo tempo, a empresa reconhece que não tem ainda uma correção para a falha do Windows 7, tornada pública dois meses atrás.

A atualização a ser liberada conserta uma vulnerabilidade que só é tida como “crítica” – o nível mais sério do sistema de classificação da Microsoft – no Windows 2000. Esse bug também afeta o Windows XP, o Vista e o Windows 7, bem como o Windows Server 2003, Server 2008, e Server 2008 R2, mas nessas versões o risco é classificado como “baixo”.

Sobre o tipo de bug a ser corrigido, “a primeira coisa que vem em mente, em relação aos novos sistemas, é uma vulnerabilidade de negação de serviço e, no Windows 2000, uma brecha para execução de código remoto”, disse o diretor de operações de segurança da nCircle Network Security, Andrew Storms.

Risco baixo
 
A Microsoft minimizou o risco potencial, mesmo para usuários do Windows 2000. “O índice de exploração dessa falha não será alto, o que diminui o risco geral”, afirmou Jerry Bryant, um porta-voz da Microsoft, em comentário publicado nesta quinta-feira no blog da empresa para temas de segurança.

Storms vê com bons olhos a carga leve da atualização de terça-feira, que sucede diversos meses de atualizações múltiplas: a Microsoft atingiu um recorde em outubro, quando publicou correções para 34 vulnerabilidades em 13 atualizações separadas. “É bom ter um mês leve, especialmente com a questão das vulnerabilidades da Adobe”, disse Storms, referindo-se a um bug na tecnologia PDF da empresa, que também deve ser corrigido em 12/1.

A Adobe, que em meados de julho prometeu liberar correções de segurança para o Reader e o Acrobat a cada trimestre, também vai corrigir falhas nesta terça-feira. A Adobe publicou sua própria notificação “pré-correção” nesta quinta-feira, mas como é de praxe recusou-se a detalhar quantas vulnerabilidades, além das que já são exploradas pelos crackers, serão corrigidas.

Para depois
 
A Microsoft, por sua vez, decidiu adiar uma correção, o que já foi confirmado por Bryant: a empresa não vai consertar uma espantosa vulnerabilidade de negação de serviço, detectada no Windows 7 e no Windows Server 2008 R2. “Ainda estamos trabalhando em uma correção”, disse.

Em meados de novembro, a Microsoft confirmou que o bug no Server Message Block (SMB), um protocolo criado pela empresa para compartilhamento de arquivos e de impressoras, poderia ser usado por crackers para comprometer computadores com Windows 7 e Windows Server 2008 R2. A Microsoft alega que a vulnerabilidade não pode ser usada para invadir PCs.

A falha do Windows 7 foi descoberta primeiro pelo pesquisador canadense Laurent Gaffie em 11/12, um dia depois que a Microsoft publicou as correções daquele mês. Gaffie publicou um código de ataque como prova de conceito em uma lista de discussão de segurança. De acordo com o pesquisador, a exploração da falha causa o travamento do Windows 7 e do Server 2008 R2 de tal maneira que a única coisa a fazer é desligar manualmente os computadores.

“De uma perspectiva de relações públicas, eu esperaria que a Microsoft consertasse o bug do SMB este mês”, disse Storms. “Por outro lado, não ficaria surpreso se isso não ocorresse, já que é apenas um bug de negação de serviço”.

A previsão é que a Microsoft libere sua atualização de segurança em 12/1 aproximadamente às 16 horas (horário de Brasília).

Fonte: IDG Now!

Em vez de consertar, Microsoft decide bloquear código vulnerável

Atualização de segurança impede carga do codec Indeo no Windows 2000, XP e Server 2003; falha poderia levar usuário a sites maliciosos.

A Microsoft decidiu desativar um codec de vídeo criado há 17 anos nas versões mais antigas do Windows, em vez de consertar as diversas vulnerabilidades que o afligiam, afirma a equipe de segurança da empresa.

Na terça-feira (8/12), mesmo dia em que publicou seis atualizações que consertavam 12 falhas, a Microsoft descreveu, em um aconselhamento de segurança, a medida incomum. Ela bloqueia a utilização do codec Indeo – software de compressão e descompressão de dados de vídeo – tanto pelo Internet Explorer como pelo Windows Media Player.

A atualização também impede que outras aplicações de acesso à internet carreguem o codec.

Não está claro quantas brechas o codec Indeo apresenta, mas pelo menos duas empresas de segurança – a VeriSign iDefense e a Fortinet – emitiram seus próprios alertas sobre o Indeo na terça-feira.

A vulnerabilidade descoberta pela iDefense foi relatada à Microsoft há mais de um ano.

Mais antigas
A atualização tem como alvo apenas as edições mais antigas do sistema da Microsoft: Windows 2000, Windows XP e Windows Server 2003. Windows Vista, Windows 7 e Windows Server 2008 barram a utilização do codec Indeo já na carga. A Intel lançou o Indeo em 1992.

Com o bloqueio do codec no IE e no Media Player, a Microsoft alega proteger o usuário de vetores de ataque conhecidos, e que poderiam levar as pessoas a visitar sites maliciosos.

Não é comum para a Microsoft contornar vulnerabilidades por meio do bloqueio do uso de peças de código. “É um fato raro, pois sempre é difícil decidir pela remoção de uma funcionalidade que os clientes usam costumeiramente, sem afetar as aplicações existentes”, admitiu um porta-voz da Microsoft na terça-feira, via e-mail.

Remendar o codec não faria muito sentido, disse o diretor de pesquisa de vulnerabilidade da empresa de segurança Qualys. “A Microsoft já havia aplicado essas mudanças no Vista e no Windows 7. Além disso, o Indeo é usado muito raramente”, defende Laid. “Eu vejo essa decisão mais como uma forma de reduzir a superfície de ataque.”

Superfície
A Microsoft tem visão semelhante. “Neste caso, nossas mudanças reduzem a superfície de ataque. Removemos a funcionalidade deste codec em vez de responder às vulnerabilidades específicas porque isso oferecia uma proteção mais ampla”, disse o porta-voz da empresa.

Não é a primeira vez que a Microsoft desistiu de consertar falhas. Em setembro, a Microsoft anunciou que consertar uma falha na implementação de TCP/IP  do Windows 2000 Server SP4 não seria a melhor saída, porque isso exigiria “a rearquitetura de uma quantidade muito significativa do sistema operacional Windows 2000 SP4”.

E, se fizesse isso “não haveria garantia de que as aplicações projetadas para rodar no sistema continuaria a operar depois da atualização”.

“Talvez essa seja uma nova tendência”, avalia Jason Miller, gerente de equipe de segurança e de dados da Shavlik Technologies, uma prestadora de serviços em gerenciamento de atualizações.

“Acreditamos que essa abordagem deve dar mais segurança aos clientes do que consertar cada uma das vulnerabilidades”, disse o porta-voz da Microsoft.

A atualização que bloqueia o codec Indeo foi distribuída aos usuários do Windows 2000, Windows XP e Server 2003 por meio do serviço automático Windows Update.



Fonte: IDG Now!