Microsoft se ocupa de IE día cero con actualización de martes de parche

Es Patch Tuesday otra vez, y Microsoft tiene mucho para mantener a los administradores de TI y usuarios ocupados este mes. Microsoft lanzó diez nuevos boletines de seguridad para mayo, pero los dos que deberían llamar más la atención y la más alta prioridad están relacionados con el navegador web Internet Explorer.

Microsoft parchó un total de 33 vulnerabilidades este mes. Hay ocho parches clasificados como importantes, que afectan a una gama de tecnologías y productos, incluidos Microsoft Word, Publisher, Visio y Lync, así como.NET Framework y el kernel de Windows. Los dos parches restantes son críticos y vulnerabilidades de direcciones en Internet Explorer.

Marc Maiffret, CTO de BeyondTrust, explica que MS13-037 afecta a todas las versiones compatibles de Internet Explorer y, por lo tanto, también afecta a todas las versiones compatibles de Windows.. Señala que tres de las vulnerabilidades tratadas están presentes en todas las versiones de Internet Explorer, y los atacantes probablemente se concentren en estas para dirigirse al conjunto más amplio posible de sistemas vulnerables con la menor cantidad de esfuerzo.

MS13-037 es el esperado, o planeada, actualización para Internet Explorer. MS13-038, por otro lado, es una adición apresurada y de último minuto al inventario de Patch Tuesday. Fue hace menos de dos semanas que se descubrió un error de día cero en IE8.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

Andrew Storms, director de operaciones de seguridad de nCircle (una empresa de Tripwire), dice, "Como se anticipó, Microsoft lanzó una actualización crítica para Internet Explorer 8 hoy que repara un error excepcional de día cero que supuestamente se usó en un ataque dirigido contra el Departamento de Trabajo de los EE. UU. La especulación a principios de esta semana sugiere que el mismo ataque también se dirigió a los empleados de USAID y el Departamento de Energía. "

Storms elogia a Microsoft por el cambio rápido. Señala que pasar de asesoramiento a parche en solo once días es un ejemplo de la capacidad de respuesta de Microsoft a sus usuarios, así como a la comunidad de seguridad.

Ross Barrett, gerente senior de ingeniería de seguridad de Rapid7, está de acuerdo en su mayoría. Comentó que el cambio rápido es Microsoft en su mejor momento. Sin embargo, también señala que el aluvión previsible de actualizaciones críticas mensuales para el navegador de Microsoft indica un modelo de parches y soporte defectuoso. Sugiere que Microsoft adopte un sistema como los navegadores rivales Chrome y Firefox, que se reproducen silenciosamente en segundo plano cuando las actualizaciones están disponibles.

En una publicación de blog, el CTO Wolfgang Kandek de Qualys nos recuerda que Microsoft no es el único juego de la ciudad. Adobe también lanzó algunas actualizaciones cruciales hoy. Hay actualizaciones para ColdFusion, Reader y Flash.