Parche fuera de fecha de Microsoft para Internet Explorer ¿Cuándo? Hoy.

(Por El Microsaurio) Así es. En la tarde de ayer llegó un aviso desde Microsoft, en el cual se informaba que saldría un parche fuera de fecha. Y que el Boletín MS10-018 estaría listo mañana por la mañana. Lo cual indica también que a esa hora pondrían en los servers de Windows Update el ejecutable del parche correspondiente. Pero la vulnerabilidad que se cubre no es flamante, nueva, terriblemente desconocida. El tema se inició el 3 de febrero, en una conferencia de hackers de la cual ya hablamos. Y hay una nota de seguridad, la 981374, actualizada el 12 de marzo. Al menos, ahora hay parche.

La conferencia fue la Black Hat DC, y tal como te comenté en Tecnozona el 15 de marzo la lista de software de Microsoft afectada es tan grande, que preferí definir: “¿Quiénes son vulnerables? Más fácil: NO son vulnerables Internet Explorer 8, Windows 7 y Windows Server 2008. Todas las otras combinaciones de sistemas operativos y/o navegadores de Microsoft son vulnerables. Ah, Internet Explorer 5 tampoco puede ser atacado (no sé si alguien lo usa todavía)”.
En efecto, las observaciones de los hackers que alertaron sobre esto y les copié en esa nota, eran ciertas, y eso de que “no hay más que unos pocos ataques dirigidos solamente a ciertas empresas” no duraron mucho.
Es muy simple: la base instalada de Windows 2000 y XP en las empresas medianas y chicas del Norte Adinerado es grande. Más los usuarios hogareños que tampoco cambiaron de máquina y por ende de sistema operativo y de navegador. A lo cual se agrega un tema muy curioso: muchas aplicaciones bancarias o de carrito de compras que fueron diseñadas para ser vistas con Internet Explorer 6 funcionan mal en IE8 y la secretaria se olvida de que existe la “vista de compatibilidad”, y se queja al jefe, y deja laburo sin hacer, por lo cual en bastantes empresas se mantiene una máquina con IE6 *nada menos que para hacer transacciones bancarias*, por ejemplo.
Pero este Boletín 018 no emparcha solamente la falla de programación descubierta en febrero. La empresa determinó que se agregarían los parches para otras nueve vulnerabilidades de Internet Explorer (no especifican cuáles navegadores) que estaban listas para ser despachadas el próximo martes de parches, el 13 de abril.
Para aumentar nuestra sensación de calma, basta con esta frase de Jerry Bryant, Group Manager del Microsoft Security Response Center: “…hemos estado monitoreando este tema y hemos determinado que es necesaria una publicación fuera de fecha para proteger a nuestros clientes…”. Así que crucen los dedos para que ningún usuario de su empresa le haga clic a un link que lo lleve a una página convenientemente “recargada”, justo antes de que apliquen el parche.
Paciencia, queridos admin… ¡Redmond los ama!