Microsoft lança atualização para falhas críticas de segurança no Windows e Office

A Microsoft apresentou hoje uma atualização com um pacote de correções em diversas falhas críticas de segurança em todas as versões atuais do Windows e nos programas do pacote Office. Quatro das vulnerabilidades foram consideradas de alto risco por especialistas de segurança, com uma delas já sendo explorada em ataques de cibercriminosos.

De todas as falhas, a mais grave é a CVE-2021-40444, que utiliza uma configuração do componente “MSHTML” para manipular diversas versões do Windows Server e do Windows 10. O ataque aconteceria usando documentos especificamente programados para explorar a brecha, como já aconteceu em alguns casos.

“Um invasor pode criar um controle ActiveX mal-intencionado para ser usado por um documento do Microsoft Office que hospeda o mecanismo de renderização do navegador”, explica a empresa.

Outra falha gravíssima do sistema é a CVE-2021-38647, um bug na execução de códigos remotos na plataforma Azure, da Microsoft. Consistindo na abertura de uma porta http/s, ela permitia que cibercriminosos pudessem executar códigos nos sistemas de trabalho remotamente.

Falhas menos críticas são as mais exploradas

As falhas críticas de segurança corrigidas por esta atualização da Microsoft podem ser baixadas manualmente, ou ainda, pelo Windows Update. No entanto, especialistas de cibersegurança reconhecem que as brechas menos graves são as que mais tem tendência de serem exploradas pelos cibercriminosos.

Uma das brechas, a CVE-2021-36965, facilitava o ataque diretamente por Wi-Fi, embora dependesse que o criminoso estivesse na mesma conexão. Outra similar, a CVE-2021-28316, também explorava configurações de rede para fazer vítimas.

O técnico em segurança Kevin Breem informou que estas duas brechas, emboras de menor risco, são as que se observa mais exploração.

“Estas falhas locais podem ser o eixo de sustentação de ações em fases pós-exploração de vulnerabilidade por um atacante experiente”, comenta. “Se presumirmos que um criminoso vai infectar o dispositivo através de engenharia social ou outro método, eu diria que corrigir isso é tão crucial quanto as falhas mais graves”.

Via KrebsonSecurity

Imagem: Alberto Garcia Guillen /shutterstock