Una actualización de Microsoft Defender para Linux ha terminado desactivando la protección activa en varios equipos justo después de reiniciarlos, y esto es exactamente lo preocupante del asunto. La propia Microsoft lo ha confirmado, admitiendo además que había un segundo problema por el medio, uno que bloqueaba la instalación en los sistemas configurados en modo FIPS. Dos fallos, entonces, en la misma solución de seguridad pensada precisamente para mantener a salvo estos equipos.
Qué versiones se vieron afectadas y por qué preocupa tanto
Vamos a los detalles, que aquí importan. El problema más grave golpeó a las compilaciones que van de la 101.26042.0000 a la 101.26042.0009, disponibles para todos los sistemas operativos Linux compatibles. La mecánica era sencilla y bastante inquietante. Después de actualizar o reinstalar el software y reiniciar la máquina, el servicio de Defender podía quedar deshabilitado sin más. Lo reconoce la propia empresa en su aviso de soporte, aunque no ha querido entrar en qué originó realmente el fallo.
La causa técnica exacta sigue siendo un misterio, al menos de puertas afuera. Lo que sí ha dejado claro Microsoft es que la protección activa quedaba comprometida en los dispositivos reiniciados hasta que se aplicaban las correcciones correspondientes. Y ahí aparece la parte más delicada del asunto. Buena parte de estas actualizaciones llega sin que nadie las pida de forma expresa.
Actualizaciones automáticas, el detalle que lo complica todo
Aquí está el nudo de la cuestión. Quien usa esta solución junto con Defender for Cloud y tiene activada la integración MDE, tiene también las actualizaciones automáticas encendidas por defecto. Traducido a lo práctico, muchos equipos pudieron recibir la versión defectuosa sin que nadie tocara un solo botón. Ninguna acción manual, ninguna advertencia previa.
Link affiliatoDefender for Servers es la capa de protección de Microsoft Defender for Cloud diseñada para máquinas virtuales y servidores. Y es de lo más habitual que tanto usuarios finales como empresas que ya trabajan con este servicio dejen la actualización de agentes en modo automático, sin darle más vueltas. El problema es que un agente de seguridad que deja de funcionar tras un reinicio rutinario abre una ventana de exposición que puede pasar totalmente inadvertida. Especialmente grave cuando hablamos de equipos que alojan cargas de trabajo críticas.
La compañía ya ha publicado las versiones que corrigen ambos problemas, eso conviene subrayarlo. Lo que no ha aclarado es si el proceso genera algún tipo de aviso al usuario o al administrador cuando el servicio queda deshabilitado. Tampoco ha precisado cuántos equipos llegaron a verse afectados ni durante cuánto tiempo permanecieron sin protección, así que esos números quedan pendientes de una confirmación oficial que, por ahora, no ha llegado.
Fuente
Imagen: softzone.es