Microsoft Patch terça-feira: atualização crítica para IE

Hoje foi o último Patch da Microsoft na terça-feira de 2009. A Microsoft lançou um total de seis novos boletins de segurança, o mais urgente que afeta uma falha de dia zero no Internet Explorer para o qual já existe código de exploração. > Proibindo quaisquer problemas de segurança urgentes ou exploits circulando na natureza para forçar uma atualização fora de banda, o número total de boletins de segurança para 2009 é 74 - uma queda de 5% em relação aos 78 boletins de segurança lançados em 2008.

Lidar com o MS09-072 Primeiro

[Mais leitura: Nossos melhores truques, dicas e ajustes do Windows 10]

Especialistas são unânimes em afirmar que o boletim de segurança MS09-072, que inclui a atualização de segurança cumulativa para o Internet Explorer, é de longe o patch mais urgente lançado pela Microsoft hoje.

Andrew Storms, diretor de operações de segurança da nCircle, disse em um e-mail "As notícias de hoje da Microsoft são a correção para um bug crítico de dia zero no Internet Explorer. A vulnerabilidade tornou-se uma das principais preocupações de segurança para os usuários quando o código de exploração se tornou publicamente disponível. Em reconhecimento à natureza crítica do problema, a Microsoft fez da correção uma prioridade máxima e a entregou em cerca de duas semanas. "

Outro especialista em segurança da nCircle, o engenheiro sênior de segurança Tyler Reguly, concordou" Número um na lista de todos seja MS09-072, o patch do IE, pois isso inclui um patch para a atual vulnerabilidade do dia 0 do IE. Corrigir o IE é sempre crucial, mas considerando a exploração pública, isso deve ser corrigido o mais rápido possível.

Falei com Amol Sarwate, gerente do Qualys Vulnerabilities Research Lab, que resumiu: "O MS09-072 é definitivamente o mais urgente. A vulnerabilidade foi divulgada há três semanas. Os invasores tiveram três semanas para trabalhar com a prova de conceito e desenvolver uma exploração viável. Se você puder fazer apenas um patch, faça isso. "

Reguly disse que além do MS09 -072 o resto dos boletins de segurança de hoje são uma espécie de mistura aleatória de correções. Eles envolvem a maior parte do alfabeto e um número de acrônimos, afetando LSASS, ADFS e IAS para iniciantes.

No grande esquema das coisas, porém, não há nada muito urgente quando você corrige o Internet Explorer. A Reguly recomenda que as organizações reservem um tempo para testar adequadamente as correções restantes antes de implantar

Internet Explorer Fail

Talvez você não tenha percebido, mas a "Atualização cumulativa para o Internet Explorer" é permanente na lista mensal de boletins de segurança da Microsoft, e tanto quanto me lembro, é sempre classificado como crítico. À medida que mais aplicativos e serviços são executados diretamente da nuvem, o navegador da Web se tornará um calcanhar de Aquiles ainda mais seguro.

Falei com o diretor de tecnologia da Qualys, Wolfgang Kandek, que observou que uma porcentagem significativa dos clientes da Qualys ainda confia na Internet. Explorer 6. Ele sugeriu que a maioria dos pontos fracos sendo enfrentados poderia ser eliminada simplesmente adotando o Internet Explorer 8.

As Storms da nCircle 'ressaltam, no entanto, que' as práticas de desenvolvimento de código seguro da Microsoft vão ser escrutinadas novamente porque o IE atual A atualização inclui correções para duas explorações não públicas que afetam apenas o IE8, o mais novo navegador da Microsoft. "

Storms 'elaborado" Não há como a Microsoft evitar a especulação de que esses erros deveriam ter sido encontrados durante o desenvolvimento de software e ciclo de garantia de qualidade, mas a realidade é que isso estava prestes a acontecer. Cada produto tem bugs e mais recursos significa superfícies de ataque maiores. "

Não Arraste o seu O Kandek acredita que a Microsoft está firmemente focada no Windows 7 e gostaria de manter seus olhos - e desenvolvedores - no futuro, mas que a base massiva das instalações do Windows XP não pode ser ignorada. Por mais que a Microsoft queira deixar de oferecer suporte ao sistema operacional legado, o Windows XP ainda estará disponível por um tempo.

Vale a pena notar que o Windows 7 não foi diretamente afetado por nenhum dos 12 boletins de segurança lançados desde que chegou às ruas. O Windows 7 é afetado perifericamente pelos problemas do Internet Explorer abordados no boletim MS09-072, e há uma exploração em andamento do que está causando a misteriosa tela preta da morte, mas ainda não há falhas confirmadas no Windows 7.

No geral, O Internet Explorer 6 é como o queijo suíço em comparação com o IE8, do ponto de vista da segurança. É também um pesadelo para administradores da Web e usuários que tentam fazer coisas como visualizar páginas da Web. O recente Relatório de Inteligência de Segurança da Microsoft mostrou que o Windows XP é 75% mais propenso a ser comprometido do que o Windows 7.

Por mais fracos que esses dois produtos sejam comparados com seus equivalentes mais modernos, muitas organizações ainda confiam neles. Essas organizações precisam dar uma nova olhada no Windows 7 e no Internet Explorer 8 e as possíveis economias em termos de suporte.

Usar o Windows XP eo Internet Explorer 6 e reclamar da segurança dos produtos Microsoft é como dirigir o carro arrastando um âncora de barco e, em seguida, reclamando que você está recebendo baixa quilometragem.

Tony Bradley tweets como

@PCSecurityNews, e pode ser contatado em sua página no Facebook.