Microsoft: 'lek in Windows XP SP2 DEP is geen lek'

Afgelopen zondag schreven wij dat een Russisch securitybedrijf een mogelijkheid had gevonden om het in Windows XP Service Pack 2 geïntroduceerde Data Execution Prevention (DEP) te omzeilen. Microsoft heeft hier afgelopen dinsdag op gereageerd, zo meldt C|Net. Volgens het bedrijf uit Redmond is het door de Russen gepresenteerde lek geen lek in de software, omdat het niet mogelijk is om deze methode zèlf te misbruiken om kwaadaardige code in het geheugen te laden. Daar komt bij dat de technologie nooit was bedoeld als 'foolproof', maar juist om het ontwikkelen van aanvallen moeilijker, en dus niet onmogelijk, te maken. Microsoft heeft aangegeven de Data Execution Prevention-technologie te blijven ontwikkelen, waardoor dit probleem mogelijk in de toekomst toch opgelost zal worden.

Peter Lindstrom, onderzoeker bij Spire Security, meent dat het probleem met DEP niet volledig op het conto van Microsoft komt. Volgens de onderzoeker heeft dit probleem namelijk meer te maken met een gebrek in het securityontwerp van softwareapplicaties dan dat Microsoft een lek heeft laten zitten. Hij meent overigens wel dat het Redmondse softwarebedrijf hier steken heeft laten vallen om Windows beter te maken, maar dat betekent niet direct dat er sprake is van een lek. Het Russische Positive Technologies heeft het 'lek' gepubliceerd nadat Microsoft had aangegeven niet direct met een oplossing te komen. Ondanks dat het niet mogelijk is om een worm of virus te ontwikkelen die gebruikmaakt van dit lek is het wel belangrijk om het probleem op te lossen, aldus de Russen.