Microsoft lança os primeiros boletins de segurança do ano

A Microsoft disponibilizou nesta semana o conjunto de correções de segurança de janeiro, depois de dois meses sem novos patches, mas os três novos boletins de segurança não incluem correções para os problemas encontrados no Internet Explorer em novembro e dezembro.Publicados no dia 13 de janeiro, os boletins MS04-001, MS04-002 e MS04-003 corrigem problemas no Microsoft ISA Server, no Microsoft Exchange Server e na função MDAC.

O boletim MS04-001 foi considerado "crítico" pela Microsoft e oferece um patch para uma vulnerabilidade no Internet Security and Acceleration (ISA) Server, que permite a execução de código arbitrário nas máquinas afetadas. O ISA é um firewall e servidor de cache Web para empresas, e o problema atinge o Microsoft Internet Security and Acceleration Server 2000. Um atacante pode assumir o controle do sistema vulnerável usando um estouro de buffer no filtro H.323, ativado por padrão nos servidores ISA.

O boletim MS04-002 trata de uma falha considerada "moderada" no Exchange Server 2003, que pode ser usada para elevar privilégios de usuários nos sistemas afetados. Apenas a versão 2003 está vulnerável e o problema acontece na reutilização de conexões do protocolo HTTP em conjunto com a autenticação NTLM. As caixas postais dos usuários que acessam seu e-mail via Exchange 2003 podem ser trocadas de forma randômica. Segundo a Microsoft, é impossível para um atacante determinar a caixa postal em que vai "cair" caso tente se aproveitar deste problema.

Já o boletim MS04-003, classificado como "importante", corrige um problema de estouro de buffer na função MDAC (Microsoft Data Access Components), um conjunto de componentes usados para fazer várias operações em bancos de dados, como a comunicação entre bancos de dados. O problema permite que um atacante obtenha privilégios de administrador e execute código arbitrário nos sistemas afetados (Windows 2000 com Microsoft Data Access Components 2.5, SQL Server 2000 com Data Access Components 2.6, Windows XP com Data Access Components 2.7 e Windows Server 2003 com Data Access Components 2.8).

No mês de dezembro, a Microsoft interrompeu seu sistema de correções de segurança mensais e não publicou nenhum boletim. Durante o intervalo, cerca de 15 vulnerabilidades foram descobertas ou re-exploradas de novas formas.