|
A Microsoft anunciou o patch para o patch, realizado na
última lista de atualizações de segurança.
A boletim MS06-042, realizado no dia 8 de agosto colocou uma falha de segurança
no Internet Explorer 6 SP1 no Windows 2000 e XP SP1 que instalaram o patch MS06-042
que permite que um cracker execute comandos remotos para causar um Denial of
Service ou permitir execução de códigos arbitrários via uma URL longa em
websites que usem HTTP1.1 e compressão.
A MS comentou dizendo que , “Esta falha somente afeta usuário
com IE 6 SP1 quando a versão original receber o patch realizado no dia 8 de
agosto de 2006.” Após aplicar a correção, alguns consumidores notaram que após
aplicar a correção, o IE fecha inesperadamente quando abre um site que usa protocolo
HTTP1.1 e compressão... claro isto era apenas a cobertura do bolo...
Talvez a Microsoft estivesse com sorte no fato de depois
aplicar o patch começou a causar crashs, mas não era bem assim, e o patch
introduziu uma nova falha! Logo após o lançamento da correção alguns
pesquisadores de segurança descobriram o novo crash e que o novo patch introduziu
uma falha de execução remota de código...
Como o grupo de pesquisadores de segurança NSFOCUS, um grupo chinês, reportou
no dia 25 de agosto.
Enquanto alguns pesquisadores estavam trabalhando juntos a
Microsoft para fazer a correção antes de demonstrar a falha ao publico, outros
não quiseram esperar e publicaram os detalhas da falha antes mesmo de o patch do
patch estar pronto. Rodízio de tortas, conspiração... ou ambos?
Detalhes no MSRC blog falam sobre a falha dizendo que ele foi mal desenvolvido e
que deveria ter sido dado mais atenção no aspecto de segurança. Microsoft disse
que gostariam de deixar escondido do publico que a nova correção tinha
introduzido uma nova falha e que “nós não gostaríamos de avisar o publico a
respeito do crash e tornaremos publico apenas quando o novo patch estivesse
disponível,” pois aguardar para fazer o comunicado irá deixar os crackers sem
informações claras de como explorar a falha.
Enquanto nós do Zone-H poderemos aplaudir a Microsoft por
trabalhar junto aos pesquisadores de segurança independentes (sem mencionar o
trabalho gratuito que é prestado por estes analistas), deixar sem explicações
até mesmo outros grupos de pesquisadores que estão trabalhando junto a eles em
problemas encontrados é um belo exemplo de como estas frustrações são comuns no
serviço de pesquisadores de segurança que trabalham junto a estes vendedores para
arrumar problemas nos softwares deles.
 Adicionar como favorito (30) |  Publique este artigo no seu site | Visualizado: 1132
Powered by AkoComment Tweaked Special Edition v.1.4.6
AkoComment © Copyright 2004 by Arthur Konze - www.mamboportal.com
All right reserved |
