Microsoft dicht donderdag 'kritiek lek' in alle Windows-versies
Microsoft brengt donderdagavond een patch uit voor een zeer ernstig lek, dat in alle ondersteunde versies van Windows zit. Dankzij het lek kunnen kwaadwillenden code uitvoeren op Windows-systemen.
Microsoft bestempelt het lek als 'kritiek' en verklaart dat de kwetsbaarheid 'remote code execution' mogelijk maakt. De fabrikant laat, om gebruikers te beschermen, verder geen details los. "Dat we buiten de gebruikelijke patchronde om een patch publiceren, zegt genoeg over de ernst ervan", vertelt Ruud de Jonge, Director Developer & Platform Enthusiasm bij Microsoft. Alle ondersteunde Windows-versies worden volgens De Jonge getroffen, ook Vista met SP1 en Windows XP met SP2 en SP3.
Het is vrij uitzonderlijk dat Microsoft tussentijds een patch uitbrengt. "Bij mijn weten is het in de afgelopen drie, vier jaar slechts twee of drie keer voorgekomen", schat De Jonge. De softwarefabrikant waarschuwt gebruikers vast, zodat deze de patch direct kunnen installeren. Deze zal om 19.00 uur Nederlandse tijd op de waarschuwingspagina gepubliceerd worden. Niet bekend is of Microsoft het lek zelf ontdekt heeft, of dat het bedrijf door een externe partij is getipt. Ook is onbekend of het lek al actief misbruikt wordt.
Reacties (109)
Welke patch hebben ze in de doofpot gestopt. Graag een bron. Of is dit een goedkope MS bash gebaseerd op een nonargument om te kunnen scoren?Schokkend, ik verwacht niet dat M$ zelf de lek gedetecteerd heeft, anders was het wel in de doofpot gegaan
Het is logisch dat ze geen informatie uitgeven omtrend het lek zolang nog niet iedereen gepached is.
[edit]
Blijkbaar heb je redelijke bron gevonden voor je opmerking. Had deze in je 1e post geplaats dat maakt je argumenten wat sterker. Maar je hebt gelijk. MS heeft iin het verleden gaten express laten zitten. Maar ik zou dat geen doofpot willen noemen. Je gaat natuurlijk niet zeggen: "We hebben die en die fouten ondekt die heel misbruikt kunnen worden maar we gaan hem niet dichten want dat kans dat hij ontdekt word is klein. Oja.... we geven hem nu op een presenteerblaadje.. Dom van ons." Natuurlijk hou je dat stil.
[Reactie gewijzigd door seal74 op donderdag 23 oktober 2008 10:58]
nieuws: Microsoft: recent lek in Jet-database al jaren bekend
alstublief!
Zo was het ook met de MetaData, welke ook al jaren bekend was, maar pas gedicht werd toen een 3e partij de lek publiekelijk maakte!
alstublief!
Zo was het ook met de MetaData, welke ook al jaren bekend was, maar pas gedicht werd toen een 3e partij de lek publiekelijk maakte!
Nou, de fout was niet in de doofpot gestopt, ik ben het met de redenatie eens, je moet als gebruiker behoorlijk wat handelingen uitvoeren om misbruik te kunnen maken van de bug..
Ofwel kom eens met een echte bug die kritiek is..
Ofwel kom eens met een echte bug die kritiek is..
Als gebruiker ja, maar het gaat uiteraard om de mensen die wel het verstand hebben hier wat mee te kunnen zoals bepaalde criminelen. Elke bug van deze aard is uitermate kritiek.
Ik weet ook niet of het verstandig is dit met zoveel tam-tam aan te kondigen. Als ik een hacker met kwade bedoelingen zou zijn, dan zou ik die patch eens goed gaan onderzoeken. Beetje reverse-engeneren en het lijkt me een kleine moeite om te zien wat voor lek er precies gepatched wordt.
Aangezien nog geen 20% van alle windows-gebruikers de moeite neemt om regelmatig te updaten, ligt er een enorm potentieel van 80% open om dit lek eens lekker te gaan misbruiken.
Gewoon "in de doofpot" stoppen en met de reguliere updates mee laten gaan had imho beter geweest.
Aangezien nog geen 20% van alle windows-gebruikers de moeite neemt om regelmatig te updaten, ligt er een enorm potentieel van 80% open om dit lek eens lekker te gaan misbruiken.
Gewoon "in de doofpot" stoppen en met de reguliere updates mee laten gaan had imho beter geweest.
Dus het criterium voor het fixen van een bug is dat'ie kritiek is? Zal ik eens aankomen bij mijn klanten. Nah, die feature doet het niet maar die ga je toch niet gebruiken dus ik fix het niet. Klinkt niet als klantvriendelijk.
Maar is wel heel gebruikelijk in de softwarewereld. Bugs worden gerangschikt en alleen echt kritieke bugs worden direct verholpen. Minder kritieke bugs worden ofwel in een minor release gestopt, of zelfs helemaal genegeerd totdat er een volgende versie van de applicatie uitkomt.
als microsoft een patch uitbrengt kan die gereverse engineerd worden en heb je alleen nog maar een groter risico, dat zou ook de rede kunnen zijn.
Dus je zegt: "Microsoft heeft in het verleden gaten expres laten zitten, en heeft dat natuurlijk stil gehouden." En dat zou jij geen doofpot willen noemen? Ik ben erg benieuwd wat je dan wel in de doofpot stoppen noemt.
Gaten laten zitten die worden misbruikt en dat ontkennen en stiekum oplossen noem ik doofpot.
Elke beveiliging heeft lekken en de ontwerper weet vaak waar je moet zoeken maar kan dit niet 1.2.3 oplossen. Indien de kans op doorbraak zeer klein is ga je dit natuurlijk niet direct vertellen maar eerst uitzoeken. Dit noem ik stilhouden geen doofpot.
Elke beveiliging heeft lekken en de ontwerper weet vaak waar je moet zoeken maar kan dit niet 1.2.3 oplossen. Indien de kans op doorbraak zeer klein is ga je dit natuurlijk niet direct vertellen maar eerst uitzoeken. Dit noem ik stilhouden geen doofpot.
Wikipedia: In de moderne betekenis wordt "in de doofpot stoppen" figuurlijk gebruikt, om aan te geven dat men onwelvallige gebeurtenissen liever niet in de openbaarheid brengt en er zoveel mogelijk over zwijgt.
Een kritiek lek (= onwelvallige gebeurtenis) stilhouden (= niet in de openbaarheid brengen) lijkt mij dus een typisch geval van in de doofpot stoppen, ongeacht of de "kans op doorbraak zeer klein is" of niet.
Een kritiek lek (= onwelvallige gebeurtenis) stilhouden (= niet in de openbaarheid brengen) lijkt mij dus een typisch geval van in de doofpot stoppen, ongeacht of de "kans op doorbraak zeer klein is" of niet.
Sorry maar een doofpot is volgens mij nog steeds iets wat verborgen word gehouden zodat er nooit iemand achter komt.
Dit is een geval van, verbergen tot we iets hebben gevonden zodat we minder kans hebben dat de gebruikers ermee in de problemen komen.
Ze kom er toch mee naar voren nu?
Zie je probleem niet
Dit is een geval van, verbergen tot we iets hebben gevonden zodat we minder kans hebben dat de gebruikers ermee in de problemen komen.
Ze kom er toch mee naar voren nu?
Zie je probleem niet
Dat is het leuke van een doofpot, niemand weet hoeveel erin zit, alleen wat erin zat (oftewel, zaken die alsnog naar buiten kwamen). Misschien hebben ze wel een lek gevonden waarmee elke machine spontaan een corrupt filesystem krijgt, misschien is het zelfs wel een 'feature', maar hebben ze zoiets van 'mwah, dat zit zo diep verstopt, dat vind niemand'. Security by obfuscation obscurity heet dat ook wel...
[Reactie gewijzigd door Rick2910 op donderdag 23 oktober 2008 13:42]
Je bedoelt 'security by obscurity'. In feite is dat helemaal geen security want je hoeft in dat geval alleen maar te reverse-engineren om 't lek te vinden.
Als we gaan muggenziften dan zou ik een kritiek lek niet als onwelvallige gebeurtenis willen bestempelen. Dat lek dat zit er namelijk al vele jaren in. Windows en waarschijnlijk ieder complex OS zit vol met gaten. Dat is op zich ook niet zo'n probleem zolang de gaten niet publiekelijk bekent zijn en het voldoende moeite kost om ze op te sporen en te misbruiken.
Is mijn huis goed beveiligd? Ik vind van wel, er is hooguit voor een paar duizend euro aan goederen te halen en ik draai de voordeur altijd netjes op slot. Betekent dat, dat er absoluut niet kan worden ingebroken? Nee, het is heel goed mogelijk. Ik vertrouw er alleen op dat de moeite die nodig is, de pakkans en de straf die daar tegenover staat voldoende ontmoedigend is om dieven buiten te houden.
Is Windows te kraken? Vast wel. Is het voldoende moeilijk om er voor te zorgen dat in combinatie met pakkans en strafmaat, het niet loont om er ernstig misbruik van te maken? Daar valt over te discussiëren. Naar mijn mening wel voor de gemiddelde thuisgebruiker en wellicht kleine ondernemers. Voor grotere bedrijven en kritische processen raad ik additionele maatregelen aan.
Is mijn huis goed beveiligd? Ik vind van wel, er is hooguit voor een paar duizend euro aan goederen te halen en ik draai de voordeur altijd netjes op slot. Betekent dat, dat er absoluut niet kan worden ingebroken? Nee, het is heel goed mogelijk. Ik vertrouw er alleen op dat de moeite die nodig is, de pakkans en de straf die daar tegenover staat voldoende ontmoedigend is om dieven buiten te houden.
Is Windows te kraken? Vast wel. Is het voldoende moeilijk om er voor te zorgen dat in combinatie met pakkans en strafmaat, het niet loont om er ernstig misbruik van te maken? Daar valt over te discussiëren. Naar mijn mening wel voor de gemiddelde thuisgebruiker en wellicht kleine ondernemers. Voor grotere bedrijven en kritische processen raad ik additionele maatregelen aan.
In welke zin 't iets niet onwelgevallig simpelweg omdat 't probleem er al vele jaren is?? Dat maakt 't eerder ergern Stel dat een crimineel (die technici betaald om gaten te vinden) zo'n lek gevonden heeft. (Niet zo'n vreemde gedachte als je weet dat een opzienbarend groot percentage van bijv. Russische kinderen het als een goede carriere ziet om een crimineel te worden.)Als we gaan muggenziften dan zou ik een kritiek lek niet als onwelvallige gebeurtenis willen bestempelen. Dat lek dat zit er namelijk al vele jaren in.
Wie weet heeft ie er dan al miljoenen mee verdiend. Zo'n gevonden lek zal ie ook niet gauw met andere criminelen delen, dus pas nadat Microsoft (jaren later, of misschien wel nooit) een patch heeft uitgebracht EN nadat de betreffende PC opnieuw is geïnstalleerd (wat jaren kan duren) (een eenmaal gecompromiteerde PC kan je immers nooit zomaar meer vertrouwen), zijn de betreffende slachtoffers veilig (althans voor dat specifieke lek... De andere honderden lekken in Windows daargelaten).
Als dat waar is, dan kan je 't feit dat Linux niet vol met gaten zit als volgt te verklaren: 't is geen complex OS.Windows en waarschijnlijk ieder complex OS zit vol met gaten.
(Ter info: bij Linux is er nog nooit een enkele virusgolf geweest. Dat kan je niet simpelweg afdoen met 't veelmisbruikte bullshit-argument dat 't minder gebruikt wordt.)
Wat een onzin. Natuurlijk loont dat - het gebeurt al vele vele jaren continue aan de lopende band! Vooral sinds Windows95 i.c.m. de opkomst van internet. Er gaan vele miljarden om in computerfraude via gekraakte Windows-machines. Natuurlijk loont 't, anders stond er nooit meer iets over in de krant over lekken en gaten en malware en phishing, etc.Is het voldoende moeilijk om er voor te zorgen dat in combinatie met pakkans en strafmaat, het niet loont om er ernstig misbruik van te maken? Daar valt over te discussiëren.
Als dat voldoende ontmoedigend zou zijn, dan zouden er haast geen inbrekers meer zijn. De pakkans is trouwens bedroevend laag in Nederland (bijv. vergeleken met Duitsland). Je hebt 't over een paar duizend euro schade maximaal. Wat als je ze je PC stelen met daarop een aantal opgeslagen wachtwoorden die met een eenvoudig kraakprogje zichtbaar gemaakt kunnen worden? Of misschien neemt de inbreker ook wel al je CD's tegelijkertijd mee zodat je ook geen backups meer hebt van je duizenden foto's of ander belangrijk werk? Het zal die inbreken echt aan zijn reet roesten als ie duizenden foto's vind of ander belangrijke backups op DVDR's/CDR's. Die worden gewoon ergens in een container gekieperd.Ik vertrouw er alleen op dat de moeite die nodig is, de pakkans en de straf die daar tegenover staat voldoende ontmoedigend is om dieven buiten te houden.
(En) wat te denken van de emotionele schade als je slachtoffer bent geworden van een inbraak? Die schade, voor zover je dat in geld kan uitdrukken, wordt vaak veel hoger aangevoeld als de fysiek aangerichte schade. En wat als ze net inbreken op een moment dat ze denken dat je niet thuis bent? Voor je 't weet, heb je een mes tussen je ribben of erger (omdat je op automatische piloot wilt ingrijpen i.p.v. vluchten). Of je moet 't gevang in omdat je de inbreker een klap hebt verkocht of misschien zelfs wel per ongeluk doodgeslagen.
Nee... De (totale/gemiddelde) schade die inbrekers veroorzaken, wordt ZWAAR onderschat. Het is dan ook zeker niet zo verstandig om inbraak in je huis te gebruiken als vergelijk om aan te geven dat de mogelijke kans op inbraak in je PC 'ook' niet zo erg is.
Wat ik bedoel met "lonen' is niet alleen financieel. Iemand kan ieder moment van zijn leven besluiten om crimineel te worden. De vraag is natuurlijk of je er gelukkig van wordt. Heb je een beter leven als crimineel dan als iemand die op een eerlijke manier zijn brood verdient. Het zal best zo zijn dat een crimineel een aantal keer een inbraak kan plegen zonder opgepakt te worden. Er komt echter in vrijwel alle gevallen een keer een dag dat iemand tegen de lamp loopt. De gevolgen van inbreken zijn groter dan het aantal dagen dat je in de gevangenis moet zitten. Je hebt een strafblad en wordt nooit meer vertrouwd door een werkgever. Dit houd in dat je nooit meer hoger op komt. De meeste werkgevers zullen je al helemaal niet meer aannemen. Bovendien ben je bij de politie bekend.
Jouw argument dat het wel loont omdat er anders geen inbrekers zouden zijn heeft ook een tegenargument. Als het echt zou lonen dan zou iedereen inbreker zijn. De reden dat er naar mijn mening criminelen zijn is voornamelijk gebaseerd op het makkelijke geld dat kortstondig binnenstroomt. Daar zijn met name kansarme jongeren erg gevoelig voor.
UIteraard zullen er uitzonderingen zijn en zullen er mensen heel lux kunnen leven van de criminaliteit zonder ooit gepakt te worden. De vraag is natuurlijk of dat soort mensen er ook niet waren gekomen als eerlijk ondernemer. Het grootste gedeelte van de criminelen zitten echter aan de onderkant van onze samenleving. En als je eenmaal een strafblad hebt dan kom je daar bijna niet meer vandaan.
EDIT:
Jouw argument dat het wel loont omdat er anders geen inbrekers zouden zijn heeft ook een tegenargument. Als het echt zou lonen dan zou iedereen inbreker zijn. De reden dat er naar mijn mening criminelen zijn is voornamelijk gebaseerd op het makkelijke geld dat kortstondig binnenstroomt. Daar zijn met name kansarme jongeren erg gevoelig voor.
UIteraard zullen er uitzonderingen zijn en zullen er mensen heel lux kunnen leven van de criminaliteit zonder ooit gepakt te worden. De vraag is natuurlijk of dat soort mensen er ook niet waren gekomen als eerlijk ondernemer. Het grootste gedeelte van de criminelen zitten echter aan de onderkant van onze samenleving. En als je eenmaal een strafblad hebt dan kom je daar bijna niet meer vandaan.
EDIT:
Ik bestrijd niet dat het onwelgevallig is. Ik bestrijd dat het een gebeurtenis is. Als ik denk aan “in de doofpot stoppen” dan gaat het inderdaad over iets wat gebeurd en waardoor je in een kwaad daglicht komt te staan als dat uitkomt, om het vervolgens geheim te houden. In dit geval is dat anders. Software maken gaat altijd gepaard met het maken van fouten. Als softwarefabrikant hoop je zo veel mogelijk fouten op te sporen voordat het product verkocht wordt. Het maken van fouten is dus niet een probleem. Het niet tijdig opsporen wel. Maar “iets niet doen” kan je moeilijk een gebeurtenis noemen.In welke zin 't iets niet onwelgevallig simpelweg omdat 't probleem er al vele jaren is??
[Reactie gewijzigd door RazorBlade72nd op donderdag 23 oktober 2008 17:12]
Goede beveiliging heeft geen technische lekken die je zomaar kunt misbruiken. Voorbeeld: RSA encrtyptie word als veilig betiteld omda de enige bekende aanval bestaat uit brute-forcen. Alle andere manieren om binnen te komen zijn bugs of designfouten en beide zijn onnacceptabel in mijn boek. Dat je de bug niet fixed is dan dus in de doofpot stoppen.
Precies, wikipedia:
maarja, dat bedoelde ik dusIn de moderne betekenis wordt "in de doofpot stoppen" figuurlijk gebruikt, om aan te geven dat men onwelvallige gebeurtenissen liever niet in de openbaarheid brengt en er zoveel mogelijk over zwijgt. Als de gebeurtenissen toch worden ontdekt, wordt er schande gesproken van het verzwijgen.
[Reactie gewijzigd door Matis op donderdag 23 oktober 2008 11:20]
er zijn genoeg situaties waarbij het in de doofpot stoppen helemaal niet negatief is, maar juist als beschermend kan worden beschouwd.
in het geval dat het een zeer specifieke fout betreft of dat de effort/impact om het te dichten dusdanig groot is of als de fout quasi onvindbaar wordt geacht bijvoorbeeld, kan het beter zijn om hier geen ruchtbaarheid aan te geven.
zo zit er in xp nog steeds een bug ivm het selecteren van files en switchen tussen verschillende schermen, waardoor de geselecteerde files nog gedeeltelijk gekleurd blijven. Dit heeft echter geen impact op security en is dus nog steeds niet gedicht.
in het geval dat het een zeer specifieke fout betreft of dat de effort/impact om het te dichten dusdanig groot is of als de fout quasi onvindbaar wordt geacht bijvoorbeeld, kan het beter zijn om hier geen ruchtbaarheid aan te geven.
zo zit er in xp nog steeds een bug ivm het selecteren van files en switchen tussen verschillende schermen, waardoor de geselecteerde files nog gedeeltelijk gekleurd blijven. Dit heeft echter geen impact op security en is dus nog steeds niet gedicht.
Mooie redenatie, maar security is (hoop ik) niet 't enige argument om bugs te repareren. Ook interessant is 't om te kijken hoe zo'n bug uberhaupt heeft kunnen ontstaan. Misschien zit de oorzaak wel in een fout in de grafische code en kunnen er tegelijkertijd ook andere bugs (misschien zelfs wel tot dan toe onbekende security bugs) mee worden verholpen....Dit heeft echter geen impact op security en is dus nog steeds niet gedicht.
Als de bug helemaal niet zo diep zit (en als dat bekend is), dan is er ook geen reden om de bug NIET te verhelpen.
De door jouw genoemde bug zou m.i. zeker óók moeten worden verholpen. Een GOED bedrijf zou 't gewoon als principieel iets willen zien dat ALLE gevonden bugs worden verholpen in de eerstvolgende versie.
Security through obscurity. En in China zitten 5 miljoen man met een dissassembler te zoeken naar dit soort dingen. Het is werkelijk een illusie dat je het eeuwig stil houd. En als het dan uitkomt is het vaak omdat het flink misbruikt is en daardoor aan het licht gekomen. De enige mannier om vendors te verplichten is full-disclosure vanaf dag 1 (heeft in het verleden al geleid tot een verplichte cursus voor alle Microsoft developers 'secure programeren'). Het probleem van bedrijven is dat de shareholder er niets aan heeft als je alleen maar bugs zit te fixen, dus het is logisch dat bedrijven het liever stil houden dan er geld aan spenderen.
" Ook is onbekend of het lek al actief misbruikt wordt. " Dit zal vast wel het geval zijn. Anders haasten zich niet om deze lek te dichten met een aparte patch.
Ik bedoel anders was het wel stil geweest en kwam er een beveiligingupdate mee met het updaten.
Ik bedoel anders was het wel stil geweest en kwam er een beveiligingupdate mee met het updaten.
Daar ben ik het niet helemaal mee eens. Ook als een lek nog niet actief misbruikt wordt heeft het dichten ervan een hoge prio. Immers als MS de kennis heeft over het lek, kan de kennis ook bij kwaadwillende terecht komen. Dan heb je dus een groot risico om gezichtsverlies te leiden.
Een groot lek ontdekt? gelijk fixen --> better safe then sorry
Een groot lek ontdekt? gelijk fixen --> better safe then sorry
met het nodige testen van de patch over een week op 1000 verschillende systemen anders heb je er alsnog niks aan.
anders heb je er alsnog niks aan.Een probleem is trouwens dat je helemaal niet kunt weten of een lek actief misbruikt wordt!!Ook als een lek nog niet actief misbruikt wordt heeft het dichten ervan een hoge prio.
Is het niet beter on te voorkomen dan te genezen. Was niet heel tweakers.net en de rest van de wereld over ze heen gevallen als bleek dat ze dit lek al wisten maar pas in een reguliere patchronde hadden gefixt. Zou MS dan niet worden beschuldigd van "doofpot" zoals in de eerste post?Dit zal vast wel het geval zijn. Anders haasten zich niet om deze lek te dichten met een aparte patch.
Wat nu ook weer een punt is, nu weet de halve wereld dit terwijl er nog geen patch is.
Nu weet ook de halve wereld dat de update die vanavond online gaat een belangrijke is. Dit moeten ze blijkbaar ASAP oplossen. Stel ze hadden niet gezegd dan vroeg iedereen zich af of ze uberhaupt wel moete patchen en wat MS in de doofpot wil stoppen. Dit geeft openheid van zaken. En geloof me er zitten waarschijnlijk nog meer lekken van dit kaliber in windows (of elk ander os) waar ze nog niet achter zijn gekomen. De grote vraag is: WAT is het lek. Dat weten ze alleen bij MS. Dus niemand die er nu misbruik van kan maken. Misschien na morgen dat hacker gaan uitzoeken wat er allemaal is veranderd en daar gaan zoeken naar de hack, echter MS is ze wel een stap voor nu.
Wat een job title zeg: Director Developer & Platform Enthusiasm. Volgens Google is het meteen ook de enige ter wereld. Is er in Nederland minder enthousiasme voor MS platformen, dat deze functie nodig is?
edit: Semantiek is een bitch ;-) De bedoelde betekenis van "Evangelism" wordt voor een Nederlander dus beter door een ander Engels woord vertegenwoordigd. Overigens zou ik Evangelism boven Enthusiasm prefereren. Het is dan meer het uitdragen van een achterliggend idee i.p.v. inspelen op de gevoelens van de gebruiker. Lijkt wat constructiever, alhoewel "evangelist" hier vaak een negatieve connotatie heeft.
Het aankondigen van kritieke patches valt blijkbaar onder het cultiveren van een vibrerend ecosysteem.he Developers & Platform Enthusiasm team is responsible for driving broad platform adoption and cultivating a vibrant ecosystem of customers, partners and developers loyal to, excited about, and satisfied with, Microsoft. Developers & Platform Enthusiasm focuses primarily on early adoption of Microsoft’s emerging platform technologies, building momentum until adoption reaches critical mass.
edit: Semantiek is een bitch ;-) De bedoelde betekenis van "Evangelism" wordt voor een Nederlander dus beter door een ander Engels woord vertegenwoordigd. Overigens zou ik Evangelism boven Enthusiasm prefereren. Het is dan meer het uitdragen van een achterliggend idee i.p.v. inspelen op de gevoelens van de gebruiker. Lijkt wat constructiever, alhoewel "evangelist" hier vaak een negatieve connotatie heeft.
[Reactie gewijzigd door snirpsnirp op donderdag 23 oktober 2008 13:59]
DPE staat voor Developer & Platform Evangelism. Erg amerikaanse kreet dus dat vertalen naar developer en platform enthusiasm snap ik wel.
Maar goed, mijn titel is Developer Evangelist.
Maar goed, mijn titel is Developer Evangelist.
Wel erg irritant dat ze niet bekend maken wat er precies aan de hand is. Nu moet je maar afwachten wat er verandert aan je systeem en of alles daarna nog goed werkt.
Het alternatief is dat hackers er misbruik van maken en dan zijn meer mensen de dupe. Daar komt bij dat je niet verplicht bent de update te installeren. Als jij de update later wil installeren dan is dat geen probleem.
Ik kan me wel vinden in de werkwijze van MS in deze.
Ik kan me wel vinden in de werkwijze van MS in deze.
Net of bij andere updates via windowsupdate je systeem geregeld niet meer goed werkt....
Maar Windows xp sp3 is dus niet kwetsbaar volgens het artikel.
Alle dus... ik denk dat ze Vista SP1 en XP SP2 apart vernoemen omdat dat de meest gebruikte versies zijn op dit moment.Alle ondersteunde Windows-versies worden volgens De Jonge getroffen, ook Vista met SP1 en Windows XP met SP2.
Dus niet Windows XP met SP1? Onduidelijk verhaal zo...ook Vista met SP1 en Windows XP met SP2 en SP3.
XP met SP1 word sinds 10 oktober 2006, dus al 2 jaar, niet meer ondersteund, dus word daar ook geen patch voor gemaakt enzo. Daarom staat die er dus ook niet tussen.
Lijkt me ook wel logisch, want SP2 is al jarenlang uit, en SP3 is er ook al weer enkele maanden.
Lijkt me ook wel logisch, want SP2 is al jarenlang uit, en SP3 is er ook al weer enkele maanden.
SP1 is ook vulnerable.
Eén van mijn PC's kan trouwens niet met SP2 overweg (BSOD na reboot en alleen image terugzetten hielp). Nog een (major) bug die MS nooit heeft opgelost.
Eén van mijn PC's kan trouwens niet met SP2 overweg (BSOD na reboot en alleen image terugzetten hielp). Nog een (major) bug die MS nooit heeft opgelost.
Omdat het bij jou toevallig op een pctje niet werkt moet MS het maar oplossen? Ik beheer hier meer dan 100 machines en geen last gehad van een plotseling BSOD na het installeren van SP2 hoor.
Ik zou alle drivers eens nalopen op die machine als ik jou was.
Ik zou alle drivers eens nalopen op die machine als ik jou was.
[Reactie gewijzigd door Gepetto op donderdag 23 oktober 2008 16:41]
SP3 word niet bij naam genoemd maar er staat toch dat alle ondersteunde versies het lek hebben, ik neem dus aan dat ook SP3 dit lek heeft.
Inderdaad, ik zal het even toevoegen om verdere onduidelijkheden te voorkomen
Volgens Microsoft betreft het ook SP3
Waarschijnlijk was de bedoeling te zeggen "alle versies van Windows, ook Vista SP1 en XP SP3, d.w.z. de meest recente versies".
Heb jij eigenlijk wel gelezen of niet? Ze patchen hem toch ASAP. Maar dan moet er wel eerst een patch zijn welke ook nog eens op korte termijn getest moet worden. Dat ze een dag na het uitbrengen van de waarschuwing de patch verspreiden is snel genoeg imo. Maar als jij even een lijstje maakt met alle onopgemerkte lekken in hun software dan zijn ze daar waarschijnlijk best blij mee...
Je opmerking security through obscurity slaat dan ook als een tang op een varken.
Je opmerking security through obscurity slaat dan ook als een tang op een varken.
Wel eens aan gedacht dat een dergelijke patch downloaden een grote bandbreedte vergt? Dat ze daarom moeten zorgen voor een beetje handig tijdstip?
Natuurlijk maken ze niet vooraf duidelijk wat de bug is. Dat is namelijk slapende honden wakker maken. Dat doet je natuurlijk niet voordat de patch gedistribueerd is. Dat heeft niets met "security through obscurity" te maken. Dat zou het pas zijn, wanneer ze de bug niet zouden patchen. En dat doen ze dus wel degelijk. Sterker, ze doen het zelfs voor de normale patchronde. Dat is dus juist het tegenovergestelde van "security through obscurity".
Verder geven ze helemaal niet aan dat ze niet weten of andere van de bug afweten. Ze geven daar helemaal geen informatie over.
Volgende keer je misschien eens je anti-MS bril afzetten voor je reageert?
Natuurlijk maken ze niet vooraf duidelijk wat de bug is. Dat is namelijk slapende honden wakker maken. Dat doet je natuurlijk niet voordat de patch gedistribueerd is. Dat heeft niets met "security through obscurity" te maken. Dat zou het pas zijn, wanneer ze de bug niet zouden patchen. En dat doen ze dus wel degelijk. Sterker, ze doen het zelfs voor de normale patchronde. Dat is dus juist het tegenovergestelde van "security through obscurity".
Verder geven ze helemaal niet aan dat ze niet weten of andere van de bug afweten. Ze geven daar helemaal geen informatie over.
Volgende keer je misschien eens je anti-MS bril afzetten voor je reageert?
Wat maken die paar uurtjes nou nog uit, terwijl de bug misschien al wel 10 jaar in verschillende windows-versies aanwezig is? Er bestaat ook zoiets als overhaast te werk gaan, met alle consequenties van dien.
Eén van de computers in ons thuisnetwerk was laatst besmet geraakt met een naar virus, dat zich verspreidde naar elke computer die gelijktijdig aanstond, zonder dat er op die computer zelf contact gezocht werd met de besmette computer. Alle computers zijn helemaal up to date overigens, en op de computers waar geen 3rd party firewall gebruikt wordt, wordt de Windows firewall gebruikt.
Het virus uit het netwerk verwijderen was dus vervelend, omdat alle Windows-installaties tegelijk moesten worden herinstalleerd. Het ging om XP SP2 / SP3 en Vista SP1 installaties.
Zou dat virus misschien van dat lek gebruik hebben gemaakt om code uit te voeren op de andere computers in het netwerk? Of hoe doet zo'n virus dat anders? En hoe valt in de toekomst te voorkomen dat één PC de hele boel opkloot?
Het virus uit het netwerk verwijderen was dus vervelend, omdat alle Windows-installaties tegelijk moesten worden herinstalleerd. Het ging om XP SP2 / SP3 en Vista SP1 installaties.
Zou dat virus misschien van dat lek gebruik hebben gemaakt om code uit te voeren op de andere computers in het netwerk? Of hoe doet zo'n virus dat anders? En hoe valt in de toekomst te voorkomen dat één PC de hele boel opkloot?
[Reactie gewijzigd door FreddyFish op donderdag 23 oktober 2008 11:00]
De stekker eruit trekken.
Waarom heb je uberhaupt lokale firewalls draaien binnen je thuisnetwerk? Configureer je firewall in je router. Als je je eigen clients binnen je netwerk niet vertrouwd run je wel een heel vreemd thuisnetwerk.
Waarom heb je uberhaupt lokale firewalls draaien binnen je thuisnetwerk? Configureer je firewall in je router. Als je je eigen clients binnen je netwerk niet vertrouwd run je wel een heel vreemd thuisnetwerk.
Geherinstalleerd? Kon je virusscanner het virus niet gewoon verwijderen? Uiteraard moet je wel alle PC's uitzetten danwel loskoppelen van het netwerk en dan een voor een ontdoen van het virus, zodat schoongemaakte systemen niet opnieuw geïnfecteerd worden.Het virus uit het netwerk verwijderen was dus vervelend, omdat alle Windows-installaties tegelijk moesten worden herinstalleerd.
virusscanners zijn ook wel fijn
je thuisnetwerk valt voor een firewall vaak onder het min-of-meer trusted netwerk, AFAIK. daar wordt dus niet zo bijster veel van geblockt, zeker niet als je ook nog eens shares gebruikt. als er eentje dus infected is, vertrouw je een infectiebron. da's dus niet goed
dus, goede virusscanner erbij, goed up-to-date houden en je zit weer goed.
je thuisnetwerk valt voor een firewall vaak onder het min-of-meer trusted netwerk, AFAIK. daar wordt dus niet zo bijster veel van geblockt, zeker niet als je ook nog eens shares gebruikt. als er eentje dus infected is, vertrouw je een infectiebron. da's dus niet goed
dus, goede virusscanner erbij, goed up-to-date houden en je zit weer goed.
Wat deed dit virus? Werd dit herkend door de virusscanner? of hoe weet jij van de virusbesmetting af?
Ik kon sommige websites die me zouden kunnen helpen bij het verwijderen van het virus niet meer bereiken, ook google zoeken werd geblokkeerd. Daarnaast ratelde de harde schijf maar door.
Avast antivirus (destijds geinstalleerd op alle computers, nu Avira Antivir) detecteerde het virus wel, maar kon het niet verwijderen. Ook niet bij opstarten of in safe mode. Werden wel wat bestandjes verwijderd, maar kwamen gewoon weer terug.
@ anderen: bedankt voor jullie goedbedoelde advies, maar ik snap natuurlijk ook wel dat ik een 'schone' PC dan niet weer aan het netwerk moet hangen, en dat er een virusscanner moet draaien. De up-to-date virusscanner hield het echter niet tegen. De NAT firewall in de router doet hier ook niks tegen, Maikel.
Mijn vraag blijft staan: hoe kan een virus zich zo gemakkelijk in een netwerk verspreiden, als er op de andere computers niks gedaan wordt? Heeft dat wellicht met dit lek te maken?
Avast antivirus (destijds geinstalleerd op alle computers, nu Avira Antivir) detecteerde het virus wel, maar kon het niet verwijderen. Ook niet bij opstarten of in safe mode. Werden wel wat bestandjes verwijderd, maar kwamen gewoon weer terug.
@ anderen: bedankt voor jullie goedbedoelde advies, maar ik snap natuurlijk ook wel dat ik een 'schone' PC dan niet weer aan het netwerk moet hangen, en dat er een virusscanner moet draaien. De up-to-date virusscanner hield het echter niet tegen. De NAT firewall in de router doet hier ook niks tegen, Maikel.
Mijn vraag blijft staan: hoe kan een virus zich zo gemakkelijk in een netwerk verspreiden, als er op de andere computers niks gedaan wordt? Heeft dat wellicht met dit lek te maken?
@ Freddyfish, Een lokale firewall per clientmachine draaien binnen een thuisnetwerk vind ik overbodig, daar je "attacks" alleen van buitenaf zal verwachten, windows firewall vind ik eigenlijk alleen practisch voor die mensen die hun PC direct op hun kabelmodempje plakken.
Dit grapje dat de PC het hele netwerk aanvalt heb ik wel vaker gezien, hoe die het doet is dat hij gewoon alle systemen die hij in je netwerkomgeving vind gegevens mee gaat uitwisselen, hoe die de machine infecteerd scheelt weer per virus, door de C$-share aan te spreken kan die zichzelf zo kopieren, en jij kan ook services registreren en starten vanuit systeembeheer als je je PC niet helemaal dichttimmert, dus dat virus kan dat mogelijk ook.
Daar je geen idee hebt welk virus je mee te doen hebt, zul je het ook niet makkelijk kunnen verwijderen.
Een CD met knoppix achter de hand houden kun je iig rustig de tijd nemen om het uit te zoeken, scheelt je een herinstallatie, en kun je de meest recente versie van stinger downloaden, branden en buiten windows om je installatie scannen.
Dit grapje dat de PC het hele netwerk aanvalt heb ik wel vaker gezien, hoe die het doet is dat hij gewoon alle systemen die hij in je netwerkomgeving vind gegevens mee gaat uitwisselen, hoe die de machine infecteerd scheelt weer per virus, door de C$-share aan te spreken kan die zichzelf zo kopieren, en jij kan ook services registreren en starten vanuit systeembeheer als je je PC niet helemaal dichttimmert, dus dat virus kan dat mogelijk ook.
Daar je geen idee hebt welk virus je mee te doen hebt, zul je het ook niet makkelijk kunnen verwijderen.
Een CD met knoppix achter de hand houden kun je iig rustig de tijd nemen om het uit te zoeken, scheelt je een herinstallatie, en kun je de meest recente versie van stinger downloaden, branden en buiten windows om je installatie scannen.
[Reactie gewijzigd door Maikel_1976 op donderdag 23 oktober 2008 13:01]
Wow, Microsoft is duidelijk geschrokken van deze dit falen in hun beveiligings checks, anders hadden ze niet zo duidelijk al ruim van te vooren aan gegeven dat ze een heel groot lek hebben. Dat is bij mij weten volkomen uniek.
Wel heel erg goed dat ze zo duidelijk laten weten dat je het moet installeren en dat het dus over duidelijk een goed te misbruiken bug is... anders hadden ze dit niet op deze manier naar buiten gebracht. Of het al in het wild gebruikt wordt, ik betwijfel het mischien is er op dit moment alleen een concept en nog geen echte exploit maar ik denk niet dat we dat te weten komen voor dat de meeste mensen netjes deze patch hebben geinstaleerd.
Je kan zeggen wat je wil van Microsoft maar ze zijn toch heel erg veel beter geworden wat betreft hun defect beleid. Als je bedenkt dat je zo'n 5 jaar geleden nog niet eens een centrale makelijk te gebruiken locatie had om je patches te verkrijgen, en dat aankondigingen van bugs als ze al gedaan werden niet echt wijd versprijd werden dan is dit toch wel heel erg goed van Microsoft.
Wel heel erg goed dat ze zo duidelijk laten weten dat je het moet installeren en dat het dus over duidelijk een goed te misbruiken bug is... anders hadden ze dit niet op deze manier naar buiten gebracht. Of het al in het wild gebruikt wordt, ik betwijfel het mischien is er op dit moment alleen een concept en nog geen echte exploit maar ik denk niet dat we dat te weten komen voor dat de meeste mensen netjes deze patch hebben geinstaleerd.
Je kan zeggen wat je wil van Microsoft maar ze zijn toch heel erg veel beter geworden wat betreft hun defect beleid. Als je bedenkt dat je zo'n 5 jaar geleden nog niet eens een centrale makelijk te gebruiken locatie had om je patches te verkrijgen, en dat aankondigingen van bugs als ze al gedaan werden niet echt wijd versprijd werden dan is dit toch wel heel erg goed van Microsoft.
Ruim van te voren??, vanavond is de patch....
Het zou iig goede reclame zijn voor microsoft, een 'lek' te vinden, voordat er misbruik van gemaakt zou kunnen worden.
Ware het niet dat sommige bugfixes weer nieuwe introduceren.
waarschijnlijk gaat het om een lek dat niet door ms zelf is gevonden maar misbruikt is door de tool XP Spyware removal tool makers.
dit is een leuk virus dat snel al de complete controle over je pc neemt en bijna er niet uit te krijgen is
dit is een leuk virus dat snel al de complete controle over je pc neemt en bijna er niet uit te krijgen is
Wat ik niet snap is dat er een verschillend niveau van is gebruik voor Windows XP en Vista dat het belang aangeeft van de patch. Bij Windows XP is het niveau 'kritiek' en bij Vista is het niveau 'belangrijk'. Zou dit marketingtechnisch beter zijn (Vista moet natuurlijk niet als onveilig gezien worden, terwijl ze juist willen dan mensen dat denken over XP zodat ze upgraden) of is er daadwerkelijik een verschil?
Misschien werkt het in Vista alleen als UAC uit staat, en is het daarom minder kritiek?
Dit lijkt me niet meer dan een complottheorie.
De reden dat het op Vista een iets lagere classificatie heeft kan zijn dat je daar bijvoorbeeld UAC hebt die mogelijk een (deels) blokkerende rol speelt in het afvangen van een eventuele exploit van het lek.
Of misschien gebruikt die een service die in Vista standaard niet gestart is, en in XP wel.
Zonder de details te kennen is het alleen maar speculeren, maar om dan meteen allerlei complotten erbij te zoeken lijkt me voorlopig wat ongefundeerd.
De reden dat het op Vista een iets lagere classificatie heeft kan zijn dat je daar bijvoorbeeld UAC hebt die mogelijk een (deels) blokkerende rol speelt in het afvangen van een eventuele exploit van het lek.
Of misschien gebruikt die een service die in Vista standaard niet gestart is, en in XP wel.
Zonder de details te kennen is het alleen maar speculeren, maar om dan meteen allerlei complotten erbij te zoeken lijkt me voorlopig wat ongefundeerd.
Zie toch ook wel ctitical patches voor vista:
http://www.microsoft.com/...ty/bulletin/ms08-001.mspx
http://www.microsoft.com/...ty/bulletin/ms08-007.mspx
Volgens mij wordt dezelfde ranking gehandhaafd. Het kan natuurlijk zijn dat eenzelfde kwetsbaarheid in Vista minder gevaar met zich meebrengt vanwege de andere beveiligings-filosofie van vista.
http://www.microsoft.com/...ty/bulletin/ms08-001.mspx
http://www.microsoft.com/...ty/bulletin/ms08-007.mspx
Volgens mij wordt dezelfde ranking gehandhaafd. Het kan natuurlijk zijn dat eenzelfde kwetsbaarheid in Vista minder gevaar met zich meebrengt vanwege de andere beveiligings-filosofie van vista.
Vista bestaat voor een gedeelte uit andere code, grote kans dat het op een vista machine minder schadelijk is.
Op dit item kan niet meer gereageerd worden.
Populair: Asus Samsung Websites en communities Mobiele telefoons Laptops Sony Games Microsoft Consoles Microsoft Xbox One
© 1998 - 2013 Tweakers.net B.V. Contact Over Tweakers Jouw privacy Algemene voorwaarden Cookies
Tweakers wordt uitgegeven door De Persgroep en wordt gehost door True
