• Tweet

Las actualizaciones de Microsoft regularmente contienen soluciones para vulnerabilidades de seguridad que no figuran en los boletines de seguridad. Microsoft defiende estos "actualizaciones silenciosas", como se les conoce entre la comunidad de seguridad, en un blog de su equipo de investigación sobre seguridad y defensa.

Cuando un fallo de seguridad se establece, el equipo de seguridad no sólo comprueba el código indicado en busca de vulnerabilidades, sino que también busca errores similares en otras partes del código. También de vez en cuando, emplea fuzzers (herramientas para buscar vulnerabilidades) en el programa en cuestión. Microsoft designa cómo buscar "variantes" para desactivarlas sin comprometer el funcionamiento general. A pesar de ello, lo hacen y afectan a la clasificación elaborada en los boletines. Se puede presentar fácilmente el caso en el que Microsoft aumente el índice de explotabilidad de un boletín debido a una variante no divulgada públicamente.

También estas vulnerabilidades de seguridad no se registran en la de base de datos "Common Vulnerabilities and Exposures" (CVE), que se utiliza con frecuencia para estudios comparativos. Microsoft justifica la no aplicación de los números de CVE para estas "variantes", al señalar que el proyecto CVE pretende ser una lista de "dominio público" de las vulnerabilidades de seguridad. La compañía indica que esto no se aplicaría a los problemas de seguridad descubiertos internamente.

Otro punto que caracteriza a Microsoft, es llevar a cabo correcciones silenciosas de servicios de las versiones principales, como el próximo Service Pack 1 para Windows 7. La versión RTM, que ya se ha filtrado en Internet, ya ha sido puesta bajo el microscopio en este aspecto. Independientemente de lo que se piensa del modo de operación de Microsoft, la entrada del blog proporciona un claro recordatorio de que los estudios basados en los reportes de CVE sólo pueden dar información muy limitada sobre la seguridad del software.