O patch de segurança para o Microsoft Office 2003 SP3 foi classificado como crítico porque o mesmo fecha uma vulnerabilidade que já está sendo explorada por ataques efetuados por criminosos cibernéticos. O problema também afeta o Microsoft Office 2011 para Mac OS X, e um patch apropriado para essa versão também já foi liberado. O Office tropeça quando é apresentado com arquivos PNG especialmente modificados em documentos e isso causa um estouro de buffer (buffer overflow) que pode ser explorado para injetar código malicioso no sistema. Outra atualização crítica está no patch cumulativo para o Internet Explorer, que corrige um total de 19 brechas de segurança em todas as versões deste navegador que pode levar a infecções por malware quando o usuário estiver navegando na Internet.
Os três boletins remanescentes afetam todas as versões do sistema operacional Windows e corrige uma brecha de escalonamento de privilégios no spooler de impressão, uma brecha de negação de serviço (DoS - Denial of Service) na pilha de rede e também um problema do kernel que pode permitir vazamento de informação. De acordo com o anúncio de liberação da Microsoft, a brecha de escalonamento de privilégio não é a mesma para qual o exploit que está em circulação desde o início de Junho.
O exploit público permite que qualquer indivíduo com acesso a qualquer tipo de conta, possa executar código com nível de privilégio de sistema - uma conta guest é mais que suficiente. A brecha é conhecida desde medos de Maio deste ano de 2013, e foi descoberta pelo pesquisador de segurança do Google, Tavis Ormandy, que revelou o problema publicamente na lista de discussão de segurança por email, a Full Disclosure, sem nenhum comunicado prévio para a Microsoft. Algumas semanas após o comunicado para a Full Disclosure, Ormandy liberou um exploit na Internet para essa brecha de segurança. De acordo com as informações atualmente disponíveis, todas as versões do Windows são afetadas.
Será que foi revolta ou descaso por parte da Gigante de Redmond? Ou simplesmente essa brecha descoberta por Ormandy é realmente difícil de corrigir em tempo hábil?
Com esse último patch day, a Microsoft também adiciona várias funcionalidades para o Windows Vista e Windows 7 que afetam o gerenciamento central de CTL (Certificate Trust List), que anteriormente só estava disponível em versões posteriores desse sistema operacional. Por exemplo, os administradores já podem determinar quais sistemas dentro de seu domínio irão receber de forma automática o CTL, mesmo se eles não participarem no Windows Update. A atualização também permite que os administradores determinem quais autoridades de certificação raíz na lista serão confiáveis pelos computadores sob seus cuidados.
Saiba Mais:
- Heise Online: Microsoft doesn't close all holes on June patch day (em Inglês)