Microsoft publica un parche de emergencia para la vulnerabilidad de los archivos WMF en Windows
5 de enero de 2006 Cinco días antes de lo previsto, Microsoft publicó este jueves (5) un parche para corregir la vulnerabilidad en los meta-archivos de Windows (WMF por sus siglas en inglés) descubierta hace más de una semana y que deja abierta la puerta para que algún hacker controle de forma remota cualquier equipo con Microsoft Windows instalado. La efectividad de este parche "oficial" no ha sido confirmada aún. Microsoft ha puesto a disposición actualizaciones para todas las versiones del sistema operativo Windows que soporta en la actualidad. No obstante, las versiones Windows 98, Windows 98 Second Edition y Windows Millenium Edition no poseen por el momento parches para esta vulnerabilidad. Según Microsoft, estas versiones tienen el componente de software vulnerable pero la falla "no es crítica porque no ha sido identificado algún vector atacante explotable que pueda dar como resultado una clasificación de severidad crítica para esas versiones". Las versiones más recientes de Windows, entre ellas Windows XP y Windows Server 2003, dependiendo de su configuración, pueden pedirles a los usuarios descargar o instalar esta actualización de forma automática para aquellos computadores conectados a internet. Este es el método preferido para proteger tu computador de esta vulnerabilidad. A los demás usuarios se les recomienda visitar el sitio Microsoft Windows Update para obtener este parche de seguridad, si no pueden descargarlo o si no están seguros de haberlo obtenido. Los métodos anteriores de protección incluían sacar del registro el archivo shimgvw.dll para deshabilitar el manejo de los meta-archivos de Windows, según un boletín de seguridad de la compañía de Bill Gates. Debido a que este método no corrige el problema de fondo, es improbable que sea siga recomendándose. Otros métodos incluían el parche no oficial publicado por el ruso Ilfak Guilfanov, el cual no era recomendado por Microsoft, pero servía como una medida para mitigar los efectos inmediatos de la falla mientras se publicaba una actualización oficial. El mismo Guilfanov ha hecho notar que su parche ya no es necesario. El pasado 28 de diciembre, Microsoft había roto el silencio sobre la falla, que reconoció como "grave" y había anunciado que el parche iba a salir el día 10 de enero, como parte de las habituales actualizaciones del segundo martes de cada mes. Alan Paller, del Instituto SANS, especializado en métodos de seguridad para computadores y que opera el Internet Storm Center, había criticado a la gigante de software Microsoft: "La tardanza de Microsoft es inexcusable. No hay otra excusa aparte de incompetencia y negligencia".
¿Cómo había calificado el gigante informático este fallo de seguridad?
grave