Uma falha existente há 17 anos no núcleo do sistema operacional
Windows de 32 bits pode ser explorada por invasores para sequestrar PCs remotamente,
alertou a Microsoft na quarta-feira (20/1).
A vulnerabilidade, que tem a mesma idade do Windows NT – primeira versão
de 32 bits do sistema operacional da Microsoft, lançada em 1993 –
reside no subsistema Windows Virtual DOS Machine (VDM) e foi descoberta pelo
grande rival da Microsoft, o Google, na terça-feira (19/1).
O engenheiro do Google, Tavis Ormandy, que detalhou o bug em uma lista de segurança
na internet, diz ter informado a Microsoft sobre a existência da falha
há sete meses. Ele também recebeu créditos por ter alertado
a Microsoft sobre uma falha corrigida pela empresa no pacote de atualizações
mensais Patch Tuesday, divulgado na semana passada.
O VDM permite que versões anteriores ao Windows NT e outras versões
mais antigas do sistema operacional rodem softwares em DOS e em versões
do Windows de 16 bits. A primeira versão do Windows, em DOS, foi lançada
em 1981.
Em seu alerta, a Microsoft recomendou que todos os usuários do sistema
afetado - presente em todas as edições de 32 bits do Windows,
incluindo o novo Windows 7 - desabilitem o VDM, como solução temporária.
As versões de 64 bits do Windows não estão vulneráveis.
Este é o segundo alerta de segurança anunciado pela Microsoft
nos últimos sete dias. A empresa informou que vai lançar uma correção
de segurança, nesta quinta-feira (21/1), para uma falha no Internet Explorer,
que já tem sido explorada por crackers em sites maliciosos. A brecha
foi usada para promover ataques aos sistemas do Google e de outras 33 empresas,
em dezembro de 2009.
Explorando a antiga falha no Windows, "um invasor pode rodar códigos
arbitrariamente no kernel do sistema", informa o alerta da Microsoft. "Em
seguida, ele pode instalar programas, visualizar, modificar ou apagar dados;
ou criar novas contas com direito de administrador liberado."
A Microsoft classificou a falha como “importante”, que é
o segundo nível de periculosidade de uma brecha após a classificação
“crítica”. O gerente de programas do Microsoft Security Response
Center (MSRC), Jerry Bryant, informou, entretanto, que a empresa não
registrou qualquer ataque que explorasse o bug e minimizou o risco da antiga
falha. "Para explorar esta vulnerabilidade, o invasor deve ter acesso a
uma conta no sistema”.
Ainda não há data de correção para o problema no
VDM, mas espera-se que a solução seja integrada ao próximo
Patch Tuesday, agendado para 9 de fevereiro.
(Gregg Keizer)
