Uma das últimas falhas de segurança do Internet Explorer, ainda de longe o mais utilizado navegador da Internet, recebeu grande destaque da mídia especializada. Não poderia ser diferente dado seu nível de gravidade. Afinal, a vulnerabilidade, cujo nome técnico é ?Execução Remota de Código ?CreateTextRange??, permite que crackers, os hackers criminosos, assumam o controle quase total de uma máquina caso o usuário esteja logado no modo administrador, só para citar um exemplo.

Basicamente, esse defeito crítico do IE, que afeta desde a versão 3 até a beta 7, mesmo que instaladas em sistemas com todas as atualizações de segurança, se relaciona com os controles Active X e Java Scripts presentes no IE. Esses recursos permitem ao browser executar códigos e programas automaticamente (como banners em Flash e arquivos que acessam o Windows Media Player, por exemplo) sem qualquer interferência do usuário ? e muitas vezes sem que ele sequer perceba. O problema é que isso abre uma brecha para um cracker executar remotamente qualquer tipo de código. As possibilidades são variadas: tornar a máquina um foco de infecção, obter todas as informações pessoais do usuário e até controlar o PC de onde ele estiver.

Mesmo sendo assumida pela Microsoft no início de março, essa falha só foi oficialmente corrigida no dia 11 de abril, quando um pacote de correções foi liberado para download pela empresa. Por conta dessa demora em corrigir o problema, pelos menos duas empresas de segurança se anteciparam e lançaram seus próprios patches de correção: eEye e Determina.

Como se sabe, somente quem tem uma cópia original do Windows instalada no computador (ou o número de série do sistema operacional seja validado pelo site Windows Update) pode baixar os pacotes de segurança liberados pela Microsoft. Por isso, ter um computador rodando uma cópia legalizada do Windows XP já facilita muito, pois basta ativar as atualizações automáticas e esperar que a Microsoft envie as correções necessárias. Contudo, há quem não consiga ter acesso a essas correções. Os usuários de versões antigas do Windows, junto com os milhões de internautas que evitam baixar essas correções pesadas porque ainda possuem conexão discada, acabaram sem ter o que fazer para corrigir esse problema. De acordo com boletim o que a Microsoft divulgou com os patches (correções) para essa vulnerabilidade, os Windows 98, 98SE e Milleniu Edition (ME) não foram contempladas, apesar de também estarem suscetíveis a apresentar o problema.

Para ajudar você a proteger o seu PC, o WNews preparou um passo-a-passo simplificado com dicas para solucionar o prolema. Afinal, quem acessa a página de suporte da Microsoft sobre esse defeito, inclusive o usuário mais experiente, fica um tanto quanto perdido sobre como resolvê-lo. Além de ser toda em inglês, as instruções soam confusas, já que pedem ao usuário não só desabilitar diversas funções do IE como também testar o programa para verificar se a ação foi efetiva. O problema é que não há qualquer sugestão de site para visitar, sem o qual não dá para executar o tal teste.

Do começo

Para começar, a primeira recomendação de Ricardo Bachert, consultor de segurança da Panda Brasil, é criar uma conta de usuário sem privilégios de administrador. ?De cara, isso já bloqueia uma série de atividades críticas que poderiam ser comandadas por um usuário remoto, como a instalação de programas e a alteração de arquivos na pasta raiz, por exemplo?, explicou. Além disso, se faz necessário investir em soluções de segurança e instalar bons softwares de antivírus e anti-spywares. Isso impede que a máquina se torne alvo fácil de infecções ou pior: se torne um foco de disseminação de malwares.

Para fazer com que o Internet Explorer não execute automaticamente programas é preciso desabilitar a função ?Scripts Ativos? (Active Scripts) no próprio navegador. De acordo com a página de suporte da Microsoft dedicada ao problema, há diferentes procedimentos para cada versão do Internet Explorer. Para verificar qual deles está na sua máquina, basta clicar em ?Ajuda? (ou Help), depois em ?Sobre o Internet Explorer? (ou About Internet Explorer). Isso feito, siga os passos abaixo. Mas cuidado: procure fazer exatamente o que está escrito, pois caso você ative ou desative outros itens não listados aqui, outros problemas podem ocorrer, ok? Se você estiver utilizando Internet Explorer 7 Beta, é bom que se diga que a Microsoft ainda não desenvolveu uma correção para ele.

Como desabilitar os ?Scripts Ativos?

Internet Explorer 3.x:

1) Clique em ?Exibir? (View), depois em ?Opções? (Options). Quando uma janela se abrir, clique na aba ?Segurança? (Security). Procure na lista o item ?Conteúdo Ativo? (Active Content). Uma vez lá, desative a caixa ?Rodar/Ativar Scripts Active X? (Run ActiveX Scripts).

2) Clique no botão ?OK?

Internet Explorer 4.x:

1) Vá para o menu ?Exibir? (View), clique em ?Opções da Internet? (Internet Options) e depois na aba ?Segurança? (Security). Lá, clique no ícone ?Zona da Internet? (Internet Web content zone), depois clique em ?Personalizar? (Custom) para abrir a caixa ?Configurações? (Settings).

2) Role a lista para baixo até encontrar a seção ?Scripting? e clique na caixa ?Desabilite? (Disable) logo abaixo dos itens ?Active scripting? e ?Java scripting?.

3) Clique nos dois botões ?OK? que surgirem

Internet Explorer 5.0, 5.01, 5.5, 6 e 7:

1) No menu ?Ferramentas? (Tools), clique em ?Opções da Internet? (Internet Options), selecione a aba ?Segurança? (Security) e lá clique no ícone ?Zona da Internet? (Internet Web content zone). Lá embaixo clique no botão ?Nível Personalizado? (Custom Level) para abrir a caixa ?Configurações de Segurança? (Security Settings).

2) Uma vez lá, role a lista até o item ?Scripts Ativos? (Active Scripts). Abaixo dele clique em desativar.

3) Clique em ?OK?, depois em ?Sim?, depois em ?Ok?.

Para verificar se essas configurações surtiram efeito, acesse o site Linha Defensiva preparado especialmente para essa matéria. Nele, você pode confirmar se o seu browser já está protegido. Caso o IE trave no momento em que abrir essa URL e pedir para enviar um relatório de erros para a Microsoft, quer dizer que ele está vulnerável. Caso apresente um pequeno quadrado no canto superior esquerdo do navegador, que dizer que ele já conta com as correções fornecidas pela Microsoft e está tudo bem.

Independente disso, depois de executar essas configurações, não há como o IE executar automaticamente tanto programas em ActiveX como em Java.