Microsoft não corrige todas as falhas no Patch Tuesday de junho

A Microsoft liberou cinco boletins de segurança no Patch Tuesday de junho para corrigir vulnerabilidades no Windows, no Internet Explorer e no Office. Entretanto, uma falha de escalação de privilégio para a qual há um exploit permanece sem correção.

O patch de segurança para Office 2003 SP3 foi considerado crítico porque corrige uma vulnerabilidade que já vem sendo explorada por cibercriminosos. O problema também afeta o Office 2011 para Mac, e um patch para essa versão foi liberado. O Office falha quando apresentado com arquivos especialmente criados em PNG em documentos, o que causa um buffer overflow que pode ser explorado para injetar código malicioso. Outra atualização crítica é o patch cumulativo para Internet Explorer, que corrige um total de 19 falhas de segurança em todas as versões do browser; essas falhas podem levar a injeções de malware ao se navegar na internet.

Os outros três boletins afetam todas as versões do Windows e corrigem uma falha de escalação de privilégio no print soopler, um problema de negação de serviço na pilha da rede e outro de kernel que poderia permitir descoberta de informações. Segundo a Microsoft, a falha de escalação de privilégio não é a mesma para a qual há um exploit em circulação desde o início de junho.

O exploit público permite que qualquer um com acesso a qualquer tipo de conta execute código com nível de privilégio de sistema. A falha é conhecida desde a metade de maio. Ela foi descoberta pelo pesquisador de segurança do Google Tavis Ormandy, que a divulgou publicamente sem aviso prévio. Segundo com informações recentes, todas as versões do Windows são afetadas.

No último Patch Tuesday, a Microsoft adicionou vários recursos para Windows Vista e 7 que afetam a central de gerenciamento do Certificate Trust List (CTL) e estavam previamente disponível em versões recentes do sistema operacional. Por exemplo, administradores podem agora determinar que sistemas dentro de seus domínios automaticamente receberão o CTL, mesmo que eles não participem do Windows Update. A atualização também permite que administradores determinem que autoridades de certificação de raiz na lista são confiáveis.

Com informações de The H