Empresa de segurança contesta grau de risco de correção da Microsoft - Segurança - IDG Now!
Geeks ao VolanteCarros auto-dirigidos podem rodar nas estradas suecas já em 2017Circuito De LucaBrasil está pronto para o aumento dos pagamentos móveis via NFCPluralPlataforma de e-commerce: Open Source x SaaS?Fique por DentroVirtualização e VPN: uma boa receita para os negóciosMundo UC&CComo o streaming pode ser aplicado nas empresas?
06/05/2010 - 20h18 - Atualizada em 15/03/2012 - 12h24
Consertados sem alarde, os 3 bugs foram considerados apenas 'importantes', o que pode levar administradores a ignorá-los, alerta Core Security.
A Microsoft, responsável pelo sistema operacional Windows, corrigiu, silenciosamente, três vulnerabilidade de seu software no último mês. Duas das atualizações afetaram os servidores de e-mail Exchange sem que os usuários fossem notificados, afirmou nessa quinta-feira (6/5) um especialista em segurança corporativa.As correções foram incorporadas ao sistema com o nome de MS10-024, uma atualização lançada em 13/04, e classificadas como "importantes" pela empresa, o segundo grau de risco nos padrões Microsoft. No entanto, para o chefe do escritório de tecnologia da Core Security Technologies, Ivan Arce, a companhia falhou ao não informar o real risco das vulnerabilidades.
"Elas eram mais importantes do que a Microsoft divulgou. Isso significa que alguns administradores de sistema podem acabar tomando decisões erradas na hora de aceitar as atualizações disponibilizadas", disse.
Ação comumAtualizações feitas silenciosamente não são novidade, tampouco são raras, diz Andrew Storms, diretor de operações de segurança da nCircle Security. "Isso tem ocorrido há muitos anos, não é nada conspiratório".
"Quando ela descobre uma falha, conduz uma profunda investigação e testa exaustivamente a correção antes de disponibilizá-la. Isso ajuda na redução do número de vezes que o usuário deve atualizar seu software. Mesmo assim, a Microsoft tenta perturbar o mínimo possível cada cliente, pois sabe como pode ser frustrante essas constantes interrupções", explicou Jerry Bryant, gerente dos programas de segurança da empresa, por e-mail.
A verdade é que muitas empresas têm a mesma conduta. "Muitas vezes não é interessante para a empresa comunicar a descoberta de mais um bug", conclui Bryant.
RiscosMesmo assim, Andrew Storm concorda com Arce sobre o perigo da norma. "A questão aqui é que a companhia deturpa a realidade, o que pode gerar um falso senso de segurança. Por exemplo, se uma correção for disponibilizada para o Internet Explorer 8 com a classificação "moderada", quando, na realidade, ela é crítica, quanto tempo vai demorar para que o consumidor baixa a atualização já que não vê urgência na ação?".
Arce completa: "Não há uma resposta fácil para essa polêmica. Se a Adobe distribuir uma correção crítica sem dar maiores informações, ficaremos exasperados por mais detalhes. Mas, de qualquer modo, temos que considerar a classificação dada pela companhia na hora de estipular a urgência da atualização".
Para ver os comunicados da Core Security sobre o MS10-024, clique aqui.
Justiça mineira proíbe no Brasil a versão masculina do aplicativo LuluGoogle (finalmente) permite exportar dados do Gmail e do CalendárioFacebook é a rede social mais procurada no Bing em 2013, no Brasil e no mundoEntenda por que os drones da Amazon talvez nunca cheguem à sua portaAmazon.com completa um ano no Brasil e comemora com promoções