O boletim mensal de segurança da Microsoft alerta para sete nove falhas de segurança, duas das quais consideradas críticas. Entre as duas falhas críticas, uma delas envolve uma vulnerabilidade no Task Scheduler, originada por um buffer que não é verificado. Esta área de memória tem como função aceitar dados de fontes externas, mas devido às falhas de verificação os comandos que asseguram a validade dos dados não estão incluídos.



Segundo a própria Microsoft, os hackers podem explorar esta vulnerabilidade ao ponto de, através de um utilizador ligado e com privilégios de administração, tomar total controle sobre o sistema, com possibilidade para instalar programas, apagar dados ou criar novas contas com todos os privilégios de um administrador de sistema.



No que respeita à segunda falha de segurança crítica, as vulnerabilidades detectadas situam-se ao nível das funções HTML Help e showHelp. Mais uma vez, esta falha pode ser explorada através do acesso à conta de um utilizador com privilégios de administração tomando o controle total do sistema.



A Microsoft considerou as restantes falhas de segurança importantes (quatro) e moderadas (uma). À parte desta comunicação foi anunciada no mesmo dia uma ferramenta que tem como objectivo limpar os sistemas afectados pelo ataque Download.Ject (ver notícias relacionadas).



Numa declaração, a empresa de segurança Symantec considerou que as novas vulnerabilidades têm a particularidade de poderem ser exploradas de forma remota em ataques denial of service e resultar na perda de dados confidenciais, recomendando que as actualizações de segurança sejam feitas de forma imediata.



Ontem (dia 13 de Julho) no encerramento da conferência anual de parceiros em Toronto, a Microsoft reforçou o seu empenho na segurança e adiantou estar a trabalhar em vários projectos que têm como objectivo facilitar as actualizações de software para empresas e particulares, através de novas aplicações e produtos que identifiquem e protejam as máquinas que não estão seguras.



Foi anunciada uma parceria com 25 integradores de sistemas, empresas de segurança e de redes. A parceria prevê que as companhias tenham um papel mais interventivo nas políticas de segurança da Microsoft. Está planeado o desenvolvimento de APIs que permitirão aos parceiros trabalhar no desenvolvimento de aplicações específicas que garantam uma ligação directa do seu software e dispositivos aos servidores remotos da Microsoft.



Este estreitamento de relações e uma acção mais concertada entre Microsoft e parceiros será assegurada pela tecnologia Network Acess Protection, incluída no update R2 (nome de código) do Windows Server, previsto para 2005.



Iniciativas idênticas têm sido levadas a cabo por entidades como a Cisco ou a Enterasys, também no sentido se melhorar a eficácia das políticas de segurança.



Notícias Relacionadas:

2004-07-08 - Solução da Microsoft para falhas no Explorer mantém pontos vulneráveis

2004-07-05 - Microsoft "remenda" vulnerabilidade nos componentes ActiveX

2004-06-29 - Ataque Download.Ject já não levanta problemas a utilizadores de Internet


2004-04-14 - Megapatchs da Microsoft resolvem 20 falhas de segurança críticas no Windows