Microsoft e suas tortas surpresas
29/08/2006 Written by Donnie Werner (Morning Wood)
A Microsoft anunciou o patch para o patch, realizado na última lista de atualizações de segurança. A boletim MS06-042, realizado no dia 8 de agosto colocou uma falha de segurança no Internet Explorer 6 SP1 no Windows 2000 e XP SP1 que instalaram o patch MS06-042 que permite que um cracker execute comandos remotos para causar um Denial of Service ou permitir execução de códigos arbitrários via uma URL longa em websites que usem HTTP1.1 e compressão.
A MS comentou dizendo que , “Esta falha somente afeta usuário com IE 6 SP1 quando a versão original receber o patch realizado no dia 8 de agosto de 2006.” Após aplicar a correção, alguns consumidores notaram que após aplicar a correção, o IE fecha inesperadamente quando abre um site que usa protocolo HTTP1.1 e compressão… claro isto era apenas a cobertura do bolo…
Talvez a Microsoft estivesse com sorte no fato de depois aplicar o patch começou a causar crashs, mas não era bem assim, e o patch introduziu uma nova falha! Logo após o lançamento da correção alguns pesquisadores de segurança descobriram o novo crash e que o novo patch introduziu uma falha de execução remota de código…
Como o grupo de pesquisadores de segurança NSFOCUS, um grupo chinês, reportou no dia 25 de agosto.
Enquanto alguns pesquisadores estavam trabalhando juntos a Microsoft para fazer a correção antes de demonstrar a falha ao publico, outros não quiseram esperar e publicaram os detalhas da falha antes mesmo de o patch do patch estar pronto. Rodízio de tortas, conspiração… ou ambos?
Detalhes no MSRC blog falam sobre a falha dizendo que ele foi mal desenvolvido e que deveria ter sido dado mais atenção no aspecto de segurança. Microsoft disse que gostariam de deixar escondido do publico que a nova correção tinha introduzido uma nova falha e que “nós não gostaríamos de avisar o publico a respeito do crash e tornaremos publico apenas quando o novo patch estivesse disponível,” pois aguardar para fazer o comunicado irá deixar os crackers sem informações claras de como explorar a falha.
Enquanto nós do Zone-H poderemos aplaudir a Microsoft por trabalhar junto aos pesquisadores de segurança independentes (sem mencionar o trabalho gratuito que é prestado por estes analistas), deixar sem explicações até mesmo outros grupos de pesquisadores que estão trabalhando junto a eles em problemas encontrados é um belo exemplo de como estas frustrações são comuns no serviço de pesquisadores de segurança que trabalham junto a estes vendedores para arrumar problemas nos softwares deles.
Share this content:
