Sin Anestesia

Tras posponer el relanzamiento del parche MS06-042, “de forma indefinida, hasta que el software esté listo,” como dijo la propia compañía hace apenas dos días, finalmente se publicó la nueva versión de esta actualización. 

Microsoft había desistido en publicar esta re-liberación de la actualización de seguridad del Internet Explorer (IE), al decir que la calidad de su software “todavía no era la apropiada”, según informa VSantivirus.

La actualización crítica, lanzada originalmente el 8 de agosto, en ocasiones provocaba que el navegador de Microsoft se cerrara de forma abrupta mientras se ejecutaban algunas aplicaciones basadas en la Web. Pero esta semana, algunos investigadores divulgaron que el software introdujo en realidad una nueva vulnerabilidad.

La semana pasada, Microsoft anunció que había planeado reeditar la actualización el martes 22 de agosto, pero cuando llegó la fecha, la compañía anunció que, “debido a un problema descubierto en la prueba final, Microsoft no relanzará el boletín de seguridad MS06-042 hoy. Esta actualización será re-liberada para Internet Explorer 6 Service Pack 1, cuando cumpla con un nivel apropiado de calidad para su distribución.”

Finalmente la nueva versión fue lanzada el jueves 24 de agosto. El anuncio puede encontrarse en: www.microsoft.com/technet/security/advisory/923762.mspx. El parche está disponible además, a través de los canales habituales de distribución de parches públicos, como Windows Update.

Según una fuente, el retraso habría sido por un problema para distribuir la actualización con Microsoft Systems Management Server (SMS). “Obviamente no todos han comprado Microsoft Systems Management Server (SMS) y eso no debe ser una razón para retrasar los parches,” dijo la fuente. SMS es un software que implementa aplicaciones, actualizaciones de programas y sistemas operativos en redes empresariales.

Microsoft agregó en el anuncio del retraso, que investigaba el problema de seguridad divulgado, descubierto por eEye Digital Security Inc.

Según eEye, un fallo agregado por el parche MS06-042, podía ser utilizado por los atacantes para ejecutar software no autorizado en la PC de una víctima. eEye descubrió el problema de seguridad la semana pasada, y la compañía cree que el defecto también es conocido por otros investigadores de seguridad y por autores de exploits.

Finalmente el 24 de agosto, Microsoft completó las pruebas que aseguraban el nivel de calidad requerido para el relanzamiento del parche para Internet Explorer 6 Service Pack 1, solucionando además la vulnerabilidad adicional provocada por la primera versión del parche, mencionada por eEye.

El propio Microsoft dice: “La actualización de seguridad [MS06-042] para Internet Explorer 6 Service Pack 1, ha sido actualizada para solucionar un asunto documentado en el artículo 923762 de la Microsoft Knowledge Base (support.microsoft.com/kb/923762/). Este asunto puede llevar a un desbordamiento de búfer adicional que solo afecta a clientes de Internet Explorer 6 SP1 que hayan aplicado la versión original de la actualización, publicada el pasado 8 agosto de 2006.”