Hoofdcategorieën
Device Settings

Microsoft waarschuwt voor veiligheidslek in Windows

Door Steve Lersberghe, woensdag 11 februari 2004 14:25
Bron: Msnbc, submitter: mrtnvnl, views: 24.051

Microsoft laat via Msnbc weten dat er een gevaarlijk veiligheidslek in een aantal Windows-versies geslopen is. De gevolgen van dit lek klinken enigszins bekend in de oren: het stelt hackers in staat om in de computer van gebruikers binnen te dringen, met alle gevolgen vandien. Het probleem is reeds een half jaar geleden ontdekt door eEye Digital Security, waarna er met Microsoft is afgesproken om nieuws over het lek pas naar buiten te brengen nadat de softwaregigant een patch had ontwikkeld. De reden waarom dat zo lang duurde is te vinden in het feit dat Microsoft wilde verzekeren dat het probleem volledig zou opgelost worden met één enkele patch. Bij eEye is men minder gelukkig met de lange tijd die het oplossen van het probleem in beslag nam, aangezien de gebruikers van de Windows-versies in kwestie - NT (Server), 2000, XP en 2003 Server - gedurende die lange periode blootgesteld werden aan hackers.

Virus / worm / veiligheidslek / security / hackersHet veiligsheidslek wordt "ongewoon ernstig" genoemd - op de Microsoft-site krijgt het de stempel 'critical' mee en eEye spreekt over een van de ergste veiligheidsissues ooit bij een Microsoft-product. Men raadt iedereen aan om zo snel mogelijk de ter beschikking gestelde patch te installeren, dit kan ook door gebruik te maken van de ingebouwde Windows Update-functionaliteit. Volgens Stephen Toulouse van Microsoft is het lek te vinden in een onderdeel dat "diep vertakt" zit in Windows. Deze redelijk vage bewoordingen worden verduidelijkt door een Security Bulletin, waaruit blijkt dat het probleem te vinden is in de ASN.1 Library. Deze standaard heeft te maken met de dataformaten van objecten in netwerken en wordt gebruikt door veel applicaties, wat het risico op een aanval verhoogt.

Volgende 15:01 Lite-on en BTC overwegen overslaan 12x dvd-branders
Vorige 13:51 ATi Radeon 9600 XT met en zonder Overdrive
Advertentie

Reacties

«  1  2  3  4  »

Op de eEye website is te lezen dat ze nog drie 'high risk' kwetsbaarheden in Microsoft producten kennen, waarvan de oudsten al meer dan 90 dagen geleden bij Microsoft gemeld zijn.

Gelukkig zijn de onderzoekers bij eEye handiger in het zoeken en vinden van deze kwetsbaarheden dan de gemiddelde virusschrijver. Als dat andersom zou zijn, dan wordt het pas interessant. Kunnen we dan nog computervirussen tegenhouden met behulp van firewalls en antivirus programma's (uitgaand van een Windows computer die aan internet hangt)?

Kunnen we dan nog computervirussen tegenhouden met behulp van firewalls

Een Firewall is een erg goede manier om de kans op exploits lager te maken, vooral als je naar binnen toe geen een poort open zet. Dan kan een exploit zoals RPC van buitenaf geen schade toe brengen. Die exploit maakte immers gebruik van een fout in RPC door die aan te roepen over een poort. Als die poort niet te bereiken is, kan die exploit niets doen.

Alleen van binnen uit is zo'n exploit wel degelijk gevaarlijk, vooral als je onder XP de meegeleverde firewall niet aanzet. Dan kan een besmette pc zo het hele netwerk infecteren.
en antivirus programma's (uitgaand van een Windows computer die aan internet hangt)?
Die kan je nooit helemaal vertrouwen, die lopen altijd iets achter de feiten aan doordat de virus definities niet altijd de laatste virussen kennen. Maar wederom is het een goede manier om de kans op besmetting zo klein mogelijk te houden. Wat lastiger is, is als een onbekend virus zo gemaakt is dat hij de aanwezige virusscanner disabled zonder dat de gebruiker dat merkt, er veel schade kan ontstaan.

Maar met een goede NAT router/firewall, een goede virusscanner en goed verstand (daar schort het bij sommige mensen aan) loop je niet erg veel risico.

Met goed verstand heb ik jaaaaaaren lang virussen buiten de deur gehouden zonder pro-actieve scanner :)

* 786562 Adm.Spock


dus jij beweert dat als we niet meer met een Microsoft OS werken, we geen firewall meer nodig hebben?

kom nu, alle linux servers hebben een firewall draaien...

@aCCuReRaS:

Dat beweert ie inderdaad. Installeer eens een zo kaal mogelijke Windows (en dan een werkstation editie (Home, Professional) en ga dan eens met netstat -a kijken op welke poortjes meneer staat te luisteren. Op een WERKSTATION! Die dus geen services open hoort te hebben staan. Maar dat heeft ie wel... :{

Als ik een kale Linux-installatie installeer, staat er helemaal niets te luisteren. Ik kies zelf mijn services, en weet van elk proces precies waar het bij hoort en wat het hoort te doen. Dingen die ik niet gebruik draai ik niet, of nog beter, installeer ik zelfs niet. En omdat er alleen dingen luisteren op poorten waarvan ik wil dat ze reageren, heb ik geen firewall nodig, want de andere poorten rejecten de connectie toch wel.

Dus: firewalls zijn inderdaad een vangnet voor systemen die niet veilig zijn.

Dit lek was zelfs 6 maanden geleden gemeld.

Het niveau critical gaven ze ook mee aan een update die een hakenkruis uit een of ander font haalde. Dus die status kun je ook niet meer zo serieus nemen... (al was het waarschijnlijk deze keer wel rechtvaardig ondanks dat we al een half jaar zonder liepen).

Nou ik wordt er wel "critical" van m'n eDonkey is er helemaal van slag van. Ik ben spontaan "firewalled", terwijl ik zonder deze patch mooi "open" ben. met de patch dus downloads=10 zonder patch downloads=60 ... zie ook dit draadje.

Lekker op tijdmet de submit hiero zeg, was om 7 uur al opde radio.
Maar goed de scripts kiddies zijn alweer in de weer om hier misbruik van te maken :( :( :(

Het probleem is reeds een half jaar geleden ontdekt door eEye Digital Security

Denk je nou echt dat die paar uurtjes extra nog uit maken? :+
Bovendien gaf mijn windows updater al keurig aan dat er nieuwe updates klaar waren om te installeren.

Denk je nou echt dat die paar uurtjes extra nog uit maken?
Het lek is nu wel bekend en afgelopen 6 maanden niet. ;)

Bekend bij wie moet je je altijd (kritisch) afvragen als je dat soort dingen leest. Wat als iemand bij dat beveiligingsbedrijf corrupt is?

Wat als de FBI/CAI/KGB/Mafia/JeEigenMalafideOrganisatieHier er al van op de hoogte was door spionage?

Er kan zo enorm misbruik van zijn gemaakt deze zes maanden. Als een kritieke security bug bekend wordt moet deze gelijk gefixed worden, geen excuus mogelijk.

Er kan zo enorm misbruik van zijn gemaakt deze zes maanden. Als een kritieke security bug bekend wordt moet deze gelijk gefixed worden, geen excuus mogelijk.
En jij denkt dat Microsoft 5 maanden heeft zitten niksen, en begin januari eens is begonnen met te kijken hoe ze dit kunnen fixen? Ze zijn daar maanden geleden mee begonnen, en vervolgens in zoveel mogelijk situaties gaan testen. En pas als de tests goed doorlopen zijn, wordt de fix gereleased.
Bekend maken voordat de fix er is heeft geen zin, daarmee biedt je juist de mogelijkheid voor mensen om de bug te misbruiken, zonder dat je er iets aan kunt doen.
Bekend bij wie moet je je altijd (kritisch) afvragen als je dat soort dingen leest. Wat als iemand bij dat beveiligingsbedrijf corrupt is?
Ja en wat nou als eEye deze bug had ontdekt, maar nooit had gemeld... :Z

Ik had hem vanmorgen vrij vroeg al gesubmit (stond ook op webwereld), maar beter laat dan nooit :) Je kunt trouwens moeilijk tweakers.net aanspreken op een wat late post van een nieuwsbericht. Als je echt 100% zeker wilt zijn dat je de laatste updates binnen kan halen moet je gewoon ieder ochtend even de update draaien. En wellicht even wat sites afschuimen. Of gewoon naar de radio luisteren zoals je al deed, al zijn die normaal gesproken wat later dan het nieuws online. ;)

Scriptkiddies maken gebruik van reedsbestaande scripts die weer exploits uitbuiten.

De mensen die nu in de weer zijn, zijn juist de echte hackers die de scripts aan het schrijven zijn.

Scriptkiddies maken gebruik van reedsbestaande scripts die weer exploits uitbuiten.

De mensen die nu in de weer zijn, zijn juist de echte hackers die de scripts aan het schrijven zijn.
Ben ik toch niet helemaal met je eens. Iemand die een scriptje schrijft voor een bekende exploit is bij mij juist een scriptkiddie.

Degene die de exploit *an sich* vind/ontdekt, dát is de hacker.

Naja, dat kun je met me eens zijn of niet, het is gewoon zo. :)

scriptkiddie: maakt gebruik van iemand anders' tools/exploits

cracker: maakt tools en ontdekt exploits om hier schade mee aan te richten.

hacker: ontdekt exploits/bugs om hier bv. microsoft over in te lichten zodat er een patch kan worden gemaakt.

Het gaat hier dus om crackers, niet om hackers.

Op zich goed dat ze mededeling en patch tegelijk naar buiten brengen, dan wordt er niet alleen onrust gezaaid, maar ook direct hulp geboden. Wel vreemd dat dat zo lang moet duren als het zo'n gevaarlijk veiligheidslek is.

Ik denk dat het te maken heeft met de ernst van de zaak. Het zit diep in Windows en dus komen er veel meer dingen bij kijken dan de huis-, tuin- en keukenbugs. Daar heb je gewoon meer tijd voor nodig om dat weer recht te breien.

Zijn die updates ook als losse bestanden te downloaden.......

Of moet alles via microsoft update

Het meest kwalijke is nog dat MS al een half jaar wist van deze bug, maar in de tussentijd windows NT4 wel heeft uitgefaseerd. Daar komt dus geen patch meer voor.

Dat ze de support stopzetten is logisch. Dat ze wachten met het bekend maken en dichten van zo'n gevaarlijk lek totdat de support is afgelopen is volksverlakkerij.

Kijk hier eens onder affected software. Daar staan de patches in alle Windows smaken :)

Best wel leuk dat zojuist Internet Explorer uitgeroepen is tot (een van de) meest veilige browser(s) door Microsoft zelf. Beetje slecht moment om dan dit nieuws te horen te krijgen :Y)

>> Microsoft lauds IE as 'the most secure browser'

-- Edit op onderstaande personen:
Ik heb het even aangepast, ik ben het tevens volledig eens met de "Rubber theorie".

Internet Explorer is uitgeroepen tot de meest veilige browser door Microsoft zelf en met als voornaamste argument dat er nu zo veel gaten zij gedicht in IE, dat het wel veilig MOET zijn.

Ahum. Een vergiet met 500 kleine stukjes rubber in de gaatjes houdt nog genoeg gaatjes over om lekker te zijn dan mijn emmer met die ene grote kurk in dat ene gat. Die emmer is nu dicht. Die vergiet niet.

Best wel leuk dat zojuist Internet Explorer uitgeroepen is tot (een van de) meest veilige browser(s).
In de door jou genoemde link staat dat Microsoft IE tot meest veilige browser uitroept. Da's heel wat anders dan wat jij zegt: dat IE een van de meest veilige browsers is. Het artikel is gewoon pure marketing, geen onafhankelijke test. Alleen dat laatste zou mij overtuigen van de waarheid van jouw uitspraak, niet een marketingverhaaltje.

Om de argumentatie in dat ZDNet artikel maar even te ontkrachten, er zijn dan wellicht zoveel bugs gefixt, er zijn er nog zat over die niet gefixt zijn:
Unpatched IE exploits

IE wordt door externe bronnen juist als het grootste veiligheids risico op PCs gezien. Toegegeven, komt deels ook doordat het kreng zo veel gebruikt wordt, maar voornamelijk door het ontbreken van een doordacht veiligheids concept imho.

Ik vindt dat eEye Digital Security zich wel een beetje aanstelt door te zeggen dat het te lang heeft geduurd voordat er een aptch was. Microsof tzal heus zijn best wel doen door snel naar een oplossing te gaan zoeken. Maar 4 windows versies controleren of een patch een gat compleet heeft gedicht is geen simpele klus. Dus "ow we hebben 90 dagen geleden een gat gemeld en ze hebben er NOG STEEDS niets aan gedaan" vindt ik een beetje overdreven. Ben blij dat microsoft zijn kop houdt tot die tijd en niet gaat zeggen van "ja we hebben een gat daar en daarin gevonden maar we hebben nog geen patch" dan gaat hacker&crackerland massaal op zoek naar dat gat.

ja zal misschien veel tijd kosten om het na te checken, maar je staat wel 90 dagen bloot aan een aanval. Dat vind ik niet niets. Dat nog met het feit dat je het zelf niet op kan lossen is toch wel reden om te zeggen dat het "erg" lang is

Even heel erg off-topic waarom staat dit al om 10:06 op Fok?
Edit : Wat ik bedoel Fok is de zustersite van Tweakers, waarom kunnen dit soort tech berichten niet tegelijker tijd worden geplaatst?

En voor 8:00 op MacOSX.nl of all places?

En voor 8:00 op MacOSX.nl of all places?
Waarom denk je?

Omdat ze er snel bij zijn i.t.t. Tweakers.NET?

Het blijkt dus maar weer dat het vaak niet opschiet met Windows patches.
Was het niet Microsoft die een tijd terug met veel trots wist te vertellen dat een van de voordelen van Windows t.o.v. Linux is dat er voor Windows veel sneller patches beschikbaar zijn dan voor Linux?

Hmm, naja, dan zal ik me wel vergissen }>

Je bent het woordje 'gemiddeld' in je citaat vergeten.

Ik denk dat het ook niet van toepassing is als er gemiddeld in staat.

ja gemiddeld duurt het 1 of 2 dagen voordat er een patch voor een linux lek is... er zijn enorme afwijkingen daarin: 3 of zelfs 4 dagen.... :/

je vergeet honderden unmaintained projecten die gewoon niet meer ontwikkeld worden waarschijnlijk :P

Gelukkig vermeld je in jou verhaal ook in welke context we praten. Daarnaast is windows net zo slecht als Linux of andersom. En komt Microsoft ook vaak genoeg uit met een patch binnen korte tijd.
Er zitten altijd fouten in besturingssystemen en zal altijd te kraken of te hacken zijn. Alleen word linux niet zoveel gebruikt als windows dus komen er ook minder snel kritieke fouten naar boven.
UNIX is bijvoorbeeld een veel beter en stabieler systeem, maar met het ontwikkelen hiervan zijn ze dan ook al rond 1960 begonnen. Dat is dan toch een kleine 20 jaar voorsprong. Dus ook meer ervaring en meer tijd om fouten op te sporen

Linux is vanaf de grond af aan opgebouwd sinds ca. 1991. Windows is al - stukje bij beetje - in ontwikkeling sinds begin jaren '80. Dat is dus een ACHTERSTAND van 10 jaar voor Linux. Dank u.

En met betrekking tot dat fabeltje dat Linux net zo vaak geroot zou worden als Windows als het maar wat vaker gebruikt zou worden: daar zou ik nog maar eens goed over nadenken. En wat stukken lezen. Er verschijnt de afgelopen maanden bijna wekelijks een stuk op internet waarin uiteen gezet wordt dat dat NIET zo is. En die zijn een stuk overtuigender dan de anderhalve zwakke, door MS zelf gefinancieerde studie die min of meer beweren wat jij zegt. :P

Linux is dus niet vanaf de grond aan gebouwd sinds ca. 1991. Linux is gebaseerd op een kernel die gebruikt werd voor Unix en die bestaat al veel en veel langer dan Windows en MS-DOS. Dus die achterstand is niet waar.

Bovendien komen er voor Redhat wekelijks updates uit waarin ook gewaarschuwd wordt voor vulnerabilities als dit en waarmee je root access kunt krijgen als je de bug kunt exploiten.

Ik ben dan ook benieuwd naar die stukken waar jij het over hebt.

Wat jiji wil.

Ten eerste:
Het feit dat Linux UNIX en POSIX compliant is, zegt helemaal niets, maar dan ook echt helemaal NIETS over waar Linux vandaan komt. Ik zeg dit, omdat ik werkelijk geen enkele andere reden kan bedenken waarom je stelt dat Linux niet vanaf de grond opgebouwd is.

Als je wat research zou doen, zou je er achter komen dat Linux medio 1991 door een zekere ;) Linus Torvalds is geschreven. Van scratch. Aanvankelijk als terminal programma. Dat er later gekeken is naar POSIX en hoe Unix werkt en dat bepaalde Unix-functionaliteit toen - deels - nagemaakt is, betekent NIET dat Linux op oudere Unix versies gebaseerd is.

De oude Unix versies waren namelijk voor het over- overgrote deel propriety software en closed source (en dat zijn ze nog steeds). En mocht je op Minix doelen als de kernel waarop Linux gebaseerd is, dan zou je eens 'Just for Fun' moeten lezen.

Een deel van de tools waarmee Linux tegenwoordig verder ontwikkeld wordt (zoals gcc e.d.) zijn wél al ouder, maar die staan los van de Linux kernel.

Wellicht is het interessant om dit eens te lezen: http://en.wikipedia.org/wiki/Linux

Ten tweede:
Daar komt 'ie weer: die updates op de RedHat site, die daar inderdaad vaak staan, zijn voor meer dan 99% exploits die alleen een local security risk opleveren. Via internet of iets dergelijks kan hier dus weinig tot niets mee gebeuren. Als je die bugs kunt exploiten kun je iets doen. Maar je KUNT die bugs dus meestal niet (makkelijk) exploiten.

Overigens: ik zeg niet dat Linux absoluut veilig is. Ik ben er alleen van overtuigd dat Linux wél relatief een stuk veiliger is dan Windows.

En die stukken? Google is je vriend.

Ik ben een beetje erg kwaad aan het worden. Vorige week Vrijdag nog waren voornamelijk provider verantwoordelijk voor de veiligheid van het internet.
Het buiten de deur houden van virussen is niet mijn taak", stelt 77 procent van de consumenten en 58 procent van de ondernemers.
En dan krijg je vandaag deze onzin voor je kiezen.
Gebruikers van onder meer Windows XP, Windows NT en Windows NT Server moeten zo snel mogelijk een programma downloaden van de website van Microsoft om het probleem op te lossen
Wie is er nu verantwoordelijk? MS vindt dat de gebruikers verantwoordelijk zijn, de gebruikers vinden dat de ISP verantwoordelijk zijn en de ISP zijn slechts de doorgevers van data. Met een brak OS en brakke gebruikers gecombineerd is het IMHO onterecht om de ISP verantwoordelijk te maken. IMHO zou de overheid eens moeten kijken in hoeverre een commercieel bedrijf de verantwoordelijkheid van z'n eigen software kan afschuiven.
Het gegeven virus kan ik an sich mee inkomen, maar ik kan dus weer op zoek gaan naar de update-pagina, want die staat niet op de FP van Microsoft. Vervolgens kan ik 3 keer verder klikken omdat mijn taal niet correct is (waarom taal? Wat heeft taal te maken met een beveiligingsprobleem? Ben ik ff blij dat mijn taalversie gepatched is (en heeft mijn collega's met WinXP in het catalaans vet pech)

Bij deze enkele diepe links:
Nederlands patch
Engels patch

Inmiddels is de lijst patches erg lang geworden. Ook na het downloaden van een servicepack kan je nog tientallen patches binnenhalen. Indien ik hier op het netwerk een verse XP-installatie doe, is deze besmet met legio virussen nog voordat ik de virusscanner geinstalleerd heb (10 minuten). Ik kan geen blancoXP meer aan het netwerk hangen voordat de firewall dicht zit.

* 786562 ecteinascidinIntegratie met OS mogelijk? Check.
Veel geld te verdienen? CHeck.
Consumentvriendelijk? Check.
Lastige concurrenten? Niet echt aanwezig.
En toch laat MS die markt links liggen

[edit]Eigen risico? Ik weet niet of het een eigen risico is om een patch NIET te installeren. Anders zou ik rustig 1000 XP-PC's bv niet willen patchen tegen MyDoom, dat rechtstreeks SCO en MS platlegt. Ik kan me bijna niet voorstellen dat consumentenproblemen louter 'eigen risico' is en dan nog zonder garantie.

Wie is er nu verantwoordelijk? MS vindt dat de gebruikers verantwoordelijk zijn, de gebruikers vinden dat de ISP verantwoordelijk zijn en de ISP zijn slechts de doorgevers van data. Met een brak OS en brakke gebruikers gecombineerd is het IMHO onterecht om de ISP verantwoordelijk te maken. IMHO zou de overheid eens moeten kijken in hoeverre een commercieel bedrijf de verantwoordelijkheid van z'n eigen software kan afschuiven.
Het gebruik van bepaalde software, zoals Windows, is 'op eigen risico'. Weleens die ellenlange voorwaarden gelezen tijdens de Windows installatie? :)

Wel eens van zwarte bepalingen gehoord? --> Bepalingen in algemene voorwaarden die niet rechtsgeldig zijn. Eentje ervan is het afwijzen van aansprakelijkheid/garantie.

Een softwarefabrikant is net zo aansprakelijk als een hardwarefabrikant. Als je hierdoor een enorme schade oploopt, kun je MS echt wel aansprakelijk stellen. Tenminste als je eenduidig de schade aan dit veiligheidsgat kunt wijten. Het is mij echt een raadsel waarom iedereen alles gelooft wat in algemene voorwaarden staat.

Aha, en dan komen wij op een leuk verschil tussen hardware en software.
Software (van Microsoft i.i.g.) koop je nml. NIET. En dus heeft Microsoft ook niet dezelfde aansprakelijkeid als een leverancier van hardware. Het is een LICENTIE op het gebruik van software. De software is niet van jou, die blijft van Microsoft. je koopt alleen het recht deze software te gebruiken OP EIGEN RISICO.
Belachelijk, dat ben ik met je eens.
Microsoft heeft deze methode trouwens niet zelf bedacht (dat is niet voor het eerst) en is ook niet de enige die deze bepaling toepast op z'n software.

Indien ik hier op het netwerk een verse XP-installatie doe, is deze besmet met legio virussen nog voordat ik de virusscanner geinstalleerd heb (10 minuten). Ik kan geen blancoXP meer aan het netwerk hangen voordat de firewall dicht zit.
Dan heb je je netwerk dus lekker beveiligd. Als ik jou was zou ik die firewall ook maar wegdoen want je gebruikt hem klaarblijkelijk niet.
Virussen op je netwerk ? Een (up-to-date) virusscanner op alle machines is geen overbodige luxe lijkt me ...
«  1  2  3  4  »

Op dit item kan niet meer gereageerd worden.

Volgende 15:01 Lite-on en BTC overwegen overslaan 12x dvd-branders
Vorige 13:51 ATi Radeon 9600 XT met en zonder Overdrive
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011