Divulgação de 10 falhas no XP SP2 gera polêmica

A divulgação de dez vulnerabilidades encontradas no Windows XP Service Pack 2 pela empresa de segurança Finjan Software gerou uma série de críticas por parte da Microsoft. A empresa de Redmond colocou em questionamento a "divulgação responsável", pelo fato de que a informação de tais brechas de segurança foi levada a público sem que as vulnerabiliddades fossem previamente analisadas e confirmadas por sua equipe.

De acordo com o comunicado da Finjan "as falhas poderiam ser exploradas remota e silenciosamente apenas com o acesso a sites maliciosos". Um atacante poderia ter acesso remoto aos arquivos locais do usuário; conseguir privilégios adicionais para a execução remota de códigos arbitrários e enganar o mecanismo de segurança para a verificação de arquivos copiados da Internet.

A atitude considerada ética por parte dos pesquisadores de segurança e que preserva os usuários contra ataques é reportar os problemas encontrados às empresas responsáveis pelos softwares vulneráveis e aguardar até que sejam confirmados e corrigidos. Só depois disso os alertas são divulgados ao público.

A Finjan afirma que forneceu à Microsoft todos os detalhes técnicos, incluindo provas de conceito sobre as brechas de segurança encontradas pelo seu centro de pesquisa, e que não liberará publicamente maiores informações até que as vulnerabilidades estejam totalmente corrigidas pela Microsoft. A empresa afirma também que quer evitar que as falhas sejam exploradas por pessoas mal-intencionadas.

A Microsoft, porém, não confirmou a existência dos problemas relatados e pôs em cheque as afirmações da empresa de segurança. "Nossa análise prévia indica que as alegações da Finjan são potencialmente enganadoras e possivelmente errôneas sobre a extensão e severidade das vulnerabilidades no Windows XP SP2,", disse um porta-voz da empresa ao site eWeek.

Já a diretora de marketing da unidade de segurança e tecnologia da Microsoft, Debby Fry Wilson, disse à CNet que a empresa considera o comunicado da Finjan um erro. "O que a Finjan está fazendo é prematuro e poderá gerar confusão no mercado".

Como resposta, Shlomo Touboul, CEO da Finjan, alegou que as pessoas devem ter conhecimento para se prevenir e isso é impossível sem as devidas informações. "Eu não diria que nós provocamos confusão. Não acredito no pânico e sim no comportamento muito calculado".