Num pacote relativamente leve de Patch Tuesday, a Microsoft fechou brechas que poderiam permitir a um arquivo Excel ou Movie Maker contaminado instalar malware em um PC vulnerável.

No entanto, uma nova falha envolvendo arquivos VBScript e Windows Help, e que pode ser explorada via Internet Explorer, permanece não resolvida.

O conteúdo deste Patch Tuesday havia sido antecipado pela própria Microsoft na quinta-feira (4/3). O pacote foi liberado para download nesta terça-feira (9/3).

O bug do Movie Maker afeta as versões 2.1, 2.6 e 6.0 do produto, e também o Microsoft Producer 2003, nos sistemas Windows XP, Vista e Windows 7.

Tanto o XP como o Vista vêm com as versões vulneráveis 2.1 (XP) e 6.0 (Vista), de acordo com a Microsoft. A abertura de um arquivo infectado .mswmm, que poderia vir na forma de um anexo de e-mail ou via download na web, pode disparar o ataque.

Botão 'Fix It'
A correção MS10-016 conserta o Movie Maker, no entanto a Microsoft não está corrigindo o Microsoft Producer 2003. Se você instalou esse download (que é grátis), a empresa publicou uma correção independente que removerá as associações de arquivo do programa para que não seja mais possível abrir automaticamente arquivos .mswmm quando clicados. Um clique no botão "Fix It" na página de soluções resolverá o problema.

O segundo e último patch desta terça-feira fecha sete brechas similares envolvendo arquivos Excel. Versões do Excel no Office XP, 2003 e 2007 são vulneráveis, bem como o Office 2004 e 2008 para Mac. O Sharepoint 2007 e o Office Excel Viewer também podem ser enquadrados nessa correção. Os detalhes sobre a patch MS10-017 podem ser conferidos no site da empresa.

A Microsoft classifica essas correções como importantes (as piores entram na categoria 'crítica'), em parte porque um ataque contra quaisquer dessas brechas exigem a interação do usuário por meio da abertura de um arquivo malicioso.

No entanto, a empresa também dá a eles o nível de explorabilidade 1, o que significa que a empresa espera por ataques. E ataques via anexos de e-mail estão bem vivos, embora atualmente a maioria deles envolva documentos PDF.

IE fora
Por fim, duas brechas de segurança que afetam o Internet Explorer permanecem intocadas. Uma afeta qualquer versão do IE no Windows 2000 ou no Windows XP. A Microsoft alertou na semana passada sobre essa falha, que permite o acesso a arquivos Windows Help inseguros via VBScript.

Não há ainda qualquer ataque conhecido, mas desconfie de qualquer site que mostre uma janela pop-up pedindo para que você pressione a tecla F1.

A segunda falha do IE foi anunciada ontem, e envolve um bug de referência a um ponteiro inválido nas versões 6 e 7. Segundo a Microsoft, ela já está sendo explorada, e pode ser ativada por um site malicioso sem necessidade de pressionar F1 ou qualquer outra tecla.