O ano começou começou com correções de segurança por parte de diferentes empresas. A Microsoft, por exemplo, deu boas vindas a 2010 fazendo ajustes leves e lançando apenas um comunicado de segurança.

O boletim MS10-001 aponta vulnerabilidades do mecanismo de fontes Open Type. O erro é considerado crítico, mas só se aplica a sistemas Windows 2000. Para todas as outras versões do Windows ele é considerado baixo.

O engenheiro de segurança da nCircle, Tyler Reguly, caracteriza a atualização da Microsoft como trivial. “Bem-vindo a um início lento de ano. Uma única correção, e do ponto de vista de pesquisa, nem é interessante. Todos os patches devem ser levados a sério, mas esse não é um fogo que precisa ser apagado rapidamente.Trata-se apenas de uma medida normal no ciclo das correções.”

O diretor de segurança da nCircle, Andrew Storms, sugere que o tempo gasto na implementação de patches seja usado para outros fins. “É uma terça-feira de atualização muito leve na Microsoft, e as equipes de TI devem tomar vantagem da situação para se preocupar com outras questões.”

Storms reforça, porém, que “um dos erros que não foi corrigido esse mês é uma vulnerabilidade de negação de serviço SMB que está aberta desde o meio de novembro. Como a Microsoft deixou a falha do jeito que está por tanto tempo é claro que o erro não é tão sério como se pensava.”

Adobe e Oracle
Apesar da Adobe e a Oracle não seguirem o mesmo ciclo de lançamento de patches de correção da Microsoft, coincidentemente as empresas lançaram atualizações críticas na terça-feira (12/1).

A Adobe lançou uma correção trimestral que conserta uma vulnerabilidade no Adobe Reader que estava sendo explorada desde as festas de fim de ano. Na época, a empresa sugeriu que os usuários desativassem a função JavaScript.

Storms acredita que, “uma vez considerado o formato de documentos mais seguro, o Adobe PFF se tornou uma presa para ataques sérios de segurança. Depois de um ano sólido nas questões de segurança, as práticas da Adobe estão sendo seriamente questionadas. É irônico considerar que nós talvez tenhamos atingido um ponto no qual documentos do Office sejam mais seguros do que arquivos PDF.”

A Oracle também lançou sua atualização trimestral. A empresa soltou 24 pacotes de segurança que afetam sete produtos diferentes. A maior parte das vulnerabilidades pode ser explorada remotamente sem autentificação, tornando-as críticas. Servidores de banco de dados não podem ser expostos à rede, mas administradores de TI têm que examinar aplicativos afetados para determinar o risco aos quais eles estão expostos.

(Tony Bradley)