Word, Word, Word

El pasado día 26 se anunció públicamente una vulnerabilidad bastante importante en Microsoft Word.

Rápidamente, los de Redmond emitieron el preceptivo aviso de seguridad. Por otro lado, la amiga Alexandra Huft restaba importancia al tema, argumentando que We are aware of very limited, targeted attacks attempting to use the vulnerability reported. Lo de siempre, vamos, aunque tengo que confesar que la lectura de la descripción de ataques limitados es digna de ser leída. Yo creí que lo había leído todo al respecto, pero no, me equivocaba.

Pero no, no voy a cargar contra Word. A estas alturas no merece la pena hablar del tema, ya se ceban los medios bastante al respecto. Imagino que los chavales de Symantec, descubridores de la vulnerabilidad, se habrán quedado agusto, sobre todo teniendo en cuenta que después de sus últimos affaires con Redmond, las relaciones entre ambas casas no atraviesan sus mejores momentos, con lo que estas bofetadas son de las que duelen, supongo.

Lo que sí me ha llamado la atención es que, en ausencia de parche oficial, las recomendaciones van, una vez más, siempre por el mismo camino. Véase la marca en rojo:

Y digo yo. Después de n problemas de seguridad, ¿No sería más sensato proponer como solución a estos problemas el reemplazo de Microsoft Word? Porque el problema no es que haya vándalos por ahí distribuyendo 0day para el producto, el problema es que el producto es deficiente en cuanto a seguridad desde prácticamente su concepción, y eso es lo que motiva que los vándalos programen y distribuyan 0day.

¿Porqué seguimos sugiriendo que la solución pasa por no abrir archivos de desconocidos? Yo creo que este tipo de recomendación es la sensata si el producto que consideramos tiene un histórico de vulnerabilidades pequeño, ante el cual otorgamos un voto de confianza y sugerimos capear el temporal no abriendo ficheros no confiables. Si el histórico de problemas de seguridad es pequeño, no vamos a sugerir como solución inmediata el reemplazo del software, ya que los problemas de seguridad puntuales son normales y naturales, y se dan hasta en las mejores familias.

Pero cuando el histórico es prolongado y amplio, sugerir que no abramos documentos de desconocidos no ayuda a nadie. Esto es pan para hoy, pero hambre para mañana. En estos casos, mal que les pese a muchos, lo sensato y equilibrado es proponer el reemplazo.

Así pues, ante este problema extremadamente crítico de Word (más detalles en este security advisory), quizás sea conveniente pensar en reemplazar el software con alguna de las muchas alternativas que hay en el mercado, y que no adolocen de un histórico de vulnerabilidades tan abultado como el de Word.