Outlook beveiligings-update released

Microsoft heeft een patch klaarliggen die de gevaarlijke bug in Outlook (Express) verhelpt. Helaas is de fix alleen geschikt voor Internet Explorer versie 5.01 of 4.01 Service Pack 2. Gebruik je een andere versie dan is de lek alleen dichten door up-te-graden naar Internet Explorer 5.01 Service Pack 1 of IE versie 5.5. Hieronder wat info van WebWereld:

Volgens Microsoft moet Internet Explorer worden bijgewerkt om het gat in mailprogramma Outlook te dichten.

Microsoft maakt geen updates voor alle versies van haar browser. Alleen voor Internet Explorer versies 5.01 en 4.01 Service Pack 2. Wie een andere versie gebruikt dient de browser op te waarderen.

Het versienummer van de browser is te achterhalen door te klikken op 'Info' in het menu 'Help' van Explorer. Bij IE 4.01 Service Pack 2 is het versienummer 4.72.3612.1713. Is IE 5.01 geïnstalleerd dan is het versienummer 5.0.2919.6307.

[...] Het bewuste lek ontstaat doordat het mailprogramma de 'headers' die met een e-mailbericht meegezonden worden niet goed controleert. In het datumveld van het bericht kunnen kwaadwillenden extra informatie plaatsen, waaronder opdrachten die het systeem moet uitvoeren. Die opdrachten worden uitgevoerd zodra het mailtje wordt binnengehaald.

Vele versies van Outlook zijn kwetsbaar. Microsoft noemt in een 'Security Bulletin' Outlook Express 4.0, 4.01, 5.0 en 5.01 en Outlook versies 97, 98 en 2000.

Reacties (20)

[zomertje]

waslijn:

Een citaatje uit de iets hierbovengenoemde link naar microsoft:

A version of Inetcomm.dll that is not affected by the vulnerability ships as part of Outlook Express 5.5, and customers who have installed it do not need to take any additional action. Outlook Express 5.5 is available as part of Internet Explorer 5.01 Service Pack 1, and, except when installed on Windows 2000, Internet Explorer 5.5. Customers who do not wish to upgrade to Outlook Express 5.5 should install the patch provided below.

Dus dan zou de bug verholpen zijn: vergis ik me dan hoor ik het wel van jullie

Je kunt 5.5 gewoon bij microsoft downloaden en installen bij win98 :
www.microsoft.com/windows/ie/download/ie55.htm

Helaas ging dit bij mij nogal mis, inmiddels werkt het gelukkig wel.

[Verwijderd]

Ja het klopt wel min of meer, maar je eindigt met 'ie5.5' downloaden. Maar die heeft ie dus wel al!

Waslijn: ben je tevreden met ie5.5? Anders is het het makkelijkst om die te uninstallen, en vervolgens de ie5.01 sp1 upgrade te draaien van www.microsoft.com/Windows/ie/download/ie501sp1.htm

dan heb je outlook express 5.5 en dan heb je nergens last meer van.

volgens mij kan je op oe5.0(1) juist wel die patch draaien, dus je kan dat ook gewoon proberen.

[Eguan]

Microsoft is dus wel een beetje bang voor weer een grote uitbraak van een virus door middel van hun software.

Wees eerlijk.. Ik zou mijn software ook niet graag zien als een doorvoer haven voor virus fanaten.

[@r!k]

Nu wordt je dus ook nog eens gedwongen om een van die service packs erop te zetten. Heel fijn hoor Microsoft.
Kunnen ze geen patch maken die je zo installert of komt die bug juist met het service pack mee?

[Verwijderd]

Dit is al gemeld in een reactie op dit bericht: www.tweakers.net/nieuws.dsp?ID=12249

Daar merkte ik al op dat op deze pagina met geen wordt gerept wordt over Outlook, alleen Outlook Express.

Weet iemand of dit ook voor de echte Outlook werkt?

[Verwijderd]

Is IE 5.01 geïnstalleerd dan is het versienummer 5.0.2919.6307.

Huh?
Ik heb hier 5.01-SP1 en daar is het versienummer 5.0.3105.0106

Is die update hier ook voor te gebruiken?
Enfin ik ga wel ff checken bij Windows Update

[update]
Nou net ff gechecked en...nope
Geen nieuwe update beschikbaar, beetje raar aangezien ik al met deze versie draai voordat die bug werdt gepublished...
Ach ja zulle we maar ff moeten wachten waarschijnlijk...
Lees trouwens m'n mail in Linux/Pine maarja...
[/update]

[Dim]

Het is weer eens een heel fijne patch van Microsoft, als je even leest op www.microsoft.com/technet/security/bulletin/ms00-043.asp dan staat daar het volgende:</div><div class=b4>Note: The patch requires IE 4.01 SP2 or IE 5.01 to install. Customers who install this patch on versions other than these may receive a message reading "This update does not need to be installed on this system". This message is incorrect. More information is available in KB article Q247884.</div><div class=b1>
Oftewel, in die gevallen ben je genaaid, en dan kan je een volledige upgrade van IE gaan doen (wat voor veel mensen natuurlijk onacceptabel is, vanwege de enorme download en de invloed die het op een systeem kan hebben).

Als klap op de vuurpijl krijg je in die gevallen doodleuk een message "You don't need this patch" ! Dus alle dumb users denken gelijk dat ze geen problemen meer zullen hebben...

En als je dan dat Q247884 article gaat opzoeken waar ze het over hebben, dan staat daar een of ander bullshit verhaal over Works 2000, wat er niets mee te maken heeft! Zie support.microsoft.com/support/kb/articles/q247/8/84.asp getiteld "Works 2000: How to Print a Contact List from Windows Address Book"

Ik vind het belachelijk dat een bedrijf dat zo groot is als Microsoft, met legioenen programmeurs, het niet eens voor elkaar kan krijgen een kritieke patch goed in elkaar te zetten, en goed te documenteren. Ik hoop dat hierdoor een hoop mensen af zullen stappen van Outlook Express.

O btw, als je Office Outlook hebt, dan heb je zelfs helemaal pech, er is nog geen patch...

[arnob]

even samengevat:
de Outlook's met MAPI (de 2000 versie kan nml. ook inet mode draaien) gebruiken het probleem punt niet

www.microsoft.com/technet/security/bulletin/ms00-043.asp

</div><div class=b4>
A component shared by Outlook and Outlook Express, Inetcomm.dll

to use only MAPI services are unlikely to be affected by the vulnerability

The vulnerability can be eliminated by taking any of the following actions:
Installing the patch available at <A href="http://www.microsoft.com/windows/ie/download/critical/patch9.htm"" target=_blank>www.microsoft.com/windows/ie/download/critical/patch9.htm"</A>
Performing a default installation of Internet Explorer 5.01 Service Pack 1 www.microsoft.com/Windows/ie/download/ie501sp1.htm
Performing a default installation of Internet Explorer 5.5 www.microsoft.com/windows/ie/download/ie55.htm on any system except Windows 2000.

the patch above also eliminates all vulnerabilities discussed in Microsoft Security Bulletins MS00-045</div><div class=b1>

[bastro]

Heb Windows2000 met IE5.5/Outlook2000 en die gaf het probleem ook en geen patch in voorbereiding.

Zullen ze wel in SP1 stoppen (daarom duurde het allemaal zo lang) maar ondertussen heb ik wel een downgrade gedaan naar 5.0 en weer een upgrade naar 5.01 en een patch want wie weet wat er dit weekend allemaal gebouwd gaat worden.

* 786562 sow.bassie_sow

[Verwijderd]

Nou fijn Had ik bij IE gekeken....
Schijnt dat ik met OE 5.5 werk *proest* versienummer: 5.50.4133.2400
Toch ff die patch geprobeerd en inderdaad foutmeldinkje, enfin...

[arnob]

Ik bedoelde 'Outlook's in MAPI mode'
Als iemand van t.net wat no-caching zou forceren bij het veranderen van een artikel zou ik het orgineel (voor de 3e keer) veranderen