Microsoft corrige bug em bluetooth

A Microsoft lançou, na terça-feira (12/07), quatro relatórios de segurança com correções para 22 vulnerabilidades, incluindo falhas no Microsoft Visio, Windows Client/Server e o Windows Kernel.

Dentre elas, apenas uma foi classificada como “crítica”. Envolve uma falha no Bluetooth que um invasor pode explorar enviando pacotes especialmente criados para um PC dentro do alcance da ferramenta – geralmente nove metros – para assumir o controle geral da máquina. A vulnerabilidade encontra-se apenas no Windows 7 e no Vista.

Por meio de uma mensagenm no Microsoft Security Response Center, a companhia alertou seus usuários. “Aconselhamos nossos clientes a aplicar esse boletim antes de qualquer outra das nossas atualizações de julho”. Ela também observou que os usuários do Windows com o Automatic Update habilitado terão a correção aplicada automaticamente.

Quem corre riscos com a vulnerabilidade do Bluetooth? “Trabalhadores que têm um dispositivo Bluetooth como o mouse ou um headset conectado e usa o laptop em locais públicos onde invasores podem se aproximar sem levantar suspeitas”, afirmou Amol Sarwate, gerente de vulnerabilidade da Qualys em uma mensagem oficial no blog da empresa. “Quando estiverem trabalhando fora, os usuários devem desabilitar o Bluetooth. A vulnerabilidade não pode ser explorada por meio da rede, por exemplo, ao visitar um site malicioso ou abrir um documento do Word”.

Pelo ataque exigir não apenas proximidade física, como também o PC alvo ter a configuração de Bluetooth adequadas, os especialistas em segurança afirmam que é improvável que a exploração seja feita de forma maciça.

A empresa observou que um invasor pode executar um ataque contra um dispositivo habilitado que não esteja com o modo de descoberta ligado, apesar de não ser muito prático.

“Se estiver pareado com um Bluetooth que esteja se comunicando, é difícil, mas não impossível de extrair o endereço por meio do tráfego pelo ar. Um dispositivo à venda no mercado por um valor que varia de US$10 mil a US$30 mil consegue fazer isso em cinco minutos. As pesquisas seguem avançando nessa área e prevemos que nos próximos anos esse tempo de invasão diminuirá. No momento, continua difícil – mas não impossível – extrair endereço Bluetooth pelo tráfego no ar”, alertou a Microsoft Security Research & Defense.

As outras falhas corrigidas pela Microsoft classificadas como “importantes”, significam que não podem ser usadas sozinhas para a execução de código remoto. Essas vulnerabilidades incluem falhas no disco Windows Kernel e subsistema client/ servidor de tempo de execução, o que pode dar privilégios elevados no sistema para um invasor executar códigos no equipamento, bem como um problema de sequestro DLL no Visio 2003 SP3. Segundo Sarwate da Qualys, “esse problema de pré-carregamento das vulnerabilidades DLL foi identificado primeiramente em agosto de 2010 e danifica um grande número de pacotes de software, alguns da Microsoft e muitos outros de fornecedores terceirizados. Corrigir todas essas vulnerabilidades é um tarefa gigantesca e não será concluída tão cedo”.

O Mozilla também lançou uma atualização do Firefox somente para o Mac (mudando a versão atual 5.0 para 5.0.1) para corrigir dois problemas de segurança. Paul Ducklin, gerente de tecnologia para a Sophos afirmou que “uma delas – o Firefox trava quando usa uma fonte para download – só ocorre na versão OS X 10.7, que ainda não foi lançada; a outra – o plug-in do Java para de funcionar com a última atualização do Java para a Apple – afeta apenas usuário do OS X 10.5, que é a versão anterior do sistema operacional da empresa”.

ð        Você tem Twitter? Então, siga http://twitter.com/IT_Web e fique por dentro das principais notícias de TI e telecom.