Microsoft tapa los agujeros de Office, pero aún no hay una solución de IE: Krebs en seguridad

Microsoft Corp. emitió hoy tres paquetes de actualizaciones que solucionan al menos 11 vulnerabilidades de seguridad en su software, principalmente fallas en oficina de microsoft productos Pero la compañía no lanzó una actualización hoy para remediar una falla crítica integrada en todas las versiones del explorador de Internet Navegador web que ahora está siendo explotado por al menos un conjunto de herramientas de piratas informáticos automático y común.

Dos de las actualizaciones abordan errores de Office, incluida una que se limita a versiones anteriores de PowerPoint y Visor de PowerPoint. Solo uno de los parches de hoy obtuvo una calificación «crítica», la más grave de Microsoft. Pero los expertos advierten que es probable que esta vulnerabilidad crítica de Office se utilice en ataques de correo electrónico dirigidos contra Microsoft Outlook usuarios

“Uno de los aspectos más peligrosos de esta vulnerabilidad es que un usuario no tiene que abrir un correo electrónico malicioso para infectarse”, dijo. Josué Talbotgerente de inteligencia de seguridad para Respuesta de seguridad de Symantec. “Todo lo que se requiere es que el contenido del correo electrónico aparezca en el Panel de lectura de Outlook. Si un usuario resalta un correo electrónico malicioso para obtener una vista previa en el Panel de lectura, su máquina se infecta de inmediato. Lo mismo ocurre si un usuario abre Outlook y un correo electrónico malicioso es el último recibido en su bandeja de entrada; ese correo electrónico aparecerá en el Panel de lectura de forma predeterminada y la computadora se infectará”.

microsoft No publique una actualización para corregir una falla de día cero en Internet Explorer que los delincuentes están explotando para ingresar a las computadoras con Windows. La semana pasada, el gigante del software advirtió que los delincuentes estaban explotando la falla en los ataques dirigidos y que no tenía intención de solucionar el problema de seguridad fuera de su proceso de parcheo mensual normal (el segundo martes de cada mes, hoy, es el parche). Martes).

Desde ese aviso, el exploit de IE ha sido empaquetado en el paquete Eleonore Exploit, un kit de software delictivo comercial poderoso y ampliamente utilizado que hace que sea trivial para los atacantes convertir sitios web legítimos en plataformas para instalar malware cuando los visitantes navegan por los sitios con PC vulnerables.

Si tiene Office instalado, tómese un momento para visitar Actualización de Microsoft para arreglar las cosas. Si usa IE, actualice a IE8 — que proporciona protecciones adicionales contra este ataque de día cero — o considere implementar el Herramienta de reparación que Microsoft ha lanzado para ayudar a mitigar la amenaza de la vulnerabilidad.

Un resumen de los boletines de hoy está disponible aquí.

Actualización, 7:03 p. m. ET: Se agregó información al final de esta publicación sobre la herramienta Microsoft FixIt.