Com dois dias de atraso, MS oferece correção para atualização de segurança que introduzia falha de segurança crítica no navegador

Dois dias após o esperado, a Microsoft divulgou novamente a correção para uma atualização de segurança voltada para o navegador Internet Explorer.

O segundo lançamento do pacote de correção é importante já que "resolve completamente" uma falha de segurança séria introduzida dentro da atualização original, divulgada no dia 8 de agosto.

A Microsoft ficou ciente de que havia problemas com sua atualização assim que ela foi divulgada. Sites que usam compressão HTTP 1.1 para agilizar o download de imagens poderiam forçar o navegador a fechar e usuários de aplicações online como da Peoplesoft, Siebel e Sage CRM também tiveram problemas com o software.

A questão não afeta usuários da versão Service Pack 2 mais recente do Windows XP, mas usuários do Internet Explorer 6 com Service Pack 1 no Windows 2000 com Service Pack 4 ou Windows XP com Service Pack 1 são afetados, disse a Microsoft.

Na semana passada, a empresa divulgou o download do "hotfix" que resolvia estes problemas, mas a gigante de softwares também decidiu tomar a rara decisão de anunciar que divulgaria novamente toda a atualização, chamada de MS06-042.

A ação, segundo a Microsoft, asseguraria que usuários do serviço de atualização automática baixariam automaticamente o pacote corrigido.
A atualização estava programa para a última terça-feira, mas foi atrasado por "um problema descoberto nos testes finais", disse a Microsoft.

Enquanto a Microsoft anunciava o atraso, pesquisadores de segurança da eEye Digital Security revelaram o problema de segurança, dizendo que a atualização de agosto da Microsoft criou uma nova falha no Internet Explorer que crackers poderiam explorar para rodar software não autorizado no PC.

Mesmo que ataques que exploram a falha não tenham sido detectados, a eEye acredita que a brecha é "crítica".

Enquanto a introdução pela Microsoft de vulnerabilidades em atualizações de segurança não é comum, é também fora do padrão a companhia dar informações de quando planeja corrigir as falhas, disse Russ Cooper, analista-senior de segurança da informação da Cybertrust.

*Robert McMillan é editor do IDG News Service, em São Francisco