• Tweet

Microsoft lanzó 11 actualizaciones de seguridad para reparar 20 problemas, incluyendo 6 en Internet Explorer, mientras que Oracle reporta 36 problemas en diferentes productos dentro de sus parches.

Es un día importante para el tema de parches en redes corporativas, teniendo en cuenta la liberación de los parches de estas 2 compañías.

Microsoft inicio con sus 11 actualizaciones de seguridad, incluyendo algunas críticas para errores en Active Directory, Internet Explorer (IE), Excel y Microsoft Host Integration Server, el cual integra equipos Windows con mainframes IBS.

Algunos expertos en Seguridad afirman que la actualización de IE, la cual repara 6 errores en el navegador, es la que se debería de seguir de cerca. Esto dado que se clasifica como crítica para aquellos usuarios que lo utilizan en equipos XP, una configuración bastante común en el ambiente empresarial.

Pero aquellos que se encuentran trabajando con Active Directory en equipos Windows 200 o previos deberían de priorizar la actualización MS08-060 como la que preceda a cualquier otra, según Don Leatham, director de soluciones y estrategias en Lumension Security. Dado que un servidor de Active Directory puede ser usado para dar permisos sobre otros equipos y manejar usuarios en la red, apoderarse de este equipo "sería el santo grial para alguien tratando de entrar a la red de la compañía y corromperla por completo", asegura Leatham.

Regularmente, los servidores de Active Directory se encuentran protegidos por un firewall, lo que significa que un atacante probablemente tenga que ser interno para dirigir el ataque, así lo dice Eric Schultze, jefe de tecnología en Shavlik Technologies. Pero el error que busca corregir la actualización citada "significa que cualquier usuario interno, puede tomar control total sobre dominios Windows 2000 y sus controladores de dominio".

Algo tranquilizante resulta el hecho de que Microsoft no ha tenido reportes de que esta vulnerabilidad haya sido explotada en algún ataque. Mientras que es posible que un atacante pueda vulnerar un equipo Windows 2000 usando este error, "es difícil crear un exploit funcional que ejecute código", explica Microsoft en una nota de su sitio web.

En total, 20 errores son reparados en las 11 actualizaciones de Microsoft. En ellas también se incluyen seis actualizaciones menos críticas, catalogadas como “importantes” por Microsoft, para diferentes componentes de Windows, y un parche “moderado”, que arregla un error que permite a un atacante visualizar información de un usuario de Office.

Es poco común que tanto Microsoft como Oracle publiquen sus actualizaciones el mismo día. Microsoft suele liberarlos el segundo martes de cada mes, conocido como el 'Patch Tuesday' en la industria. No así Oracle, quien libera sus actualizaciones trimestralmente en el martes cercano a la mitad del mes. Comúnmente esta medida ubica a la publicación el tercer martes del mes que corresponde, aunque este mes, ambas fechas convergen.

Las actualizaciones de los martes de Microsoft traen un poco de mas información para los clientes de la compañía. Incluyendo una nueva sección llamada "Indice de explotabilidad" diseñado para hacer mas sencillo que los usuarios Windows se den una idea de cuales son los errores mas explotados por los hackers.

Microsoft ha clasificado todas sus actualizaciones con la siguiente descripción:

Microsoft has now rated all of its security updates with the following descriptions: "Consistent Exploit Code Likely," "Inconsistent Exploit Code Likely," or "Functioning Exploit Code Unlikely".

Un error en el IE, puede permitir a un atacante elevación de privilegios en un equipo windows, el cual ha sido ya publicamente conocido, aunque no se han identificado ataques en el mundo real, aseguró Microsoft.