Patch voor dns-lek Microsoft wordt op 8 mei verwacht

De patch van Microsoft die het gat in de dns-service van enkele Windows Server-versies moet dichten komt uiterlijk 8 mei, hoopt het bedrijf. Er wordt aan 133 verschillende updates gewerkt: één in elke taal voor iedere versie van Windows Server die momenteel ondersteund wordt.

Afgelopen weekend kwam het lek in de dns service in Windows 2000 Server SP4 en Windows Server 2003 SP1 en SP2 aan het licht. Via een speciaal geprepareerd rpc-pakketje bleek het mogelijk kwetsbare servers over te nemen. Begin deze week doken meerdere exploits op internet op, en ook een aangepaste versie van de Nirbot- of Delbot-worm leek misbruik te maken van het lek. Beveiligingsbedrijf Sophos gaf echter aan dat een aanval alleen succes zou hebben op een slecht geconfigureerd systeem, aangezien bij de publiekelijk toegankelijke dns-servers een firewall de rpc-interface zou moeten blokkeren. Desondanks was de druk op Microsoft hoog om met een oplossing te komen. Het bedrijf hoopt die over tweeëneenhalve week, bij de volgende patchronde, gereed te hebben. Tot die tijd verwijst het concern naar de workarounds zoals genoemd in de advisory.

Reacties (33)

[Olaf van der Spek]

Er wordt aan 133 verschillende updates gewerkt: één in elke taal voor iedere versie van Windows Server die momenteel ondersteund wordt.

Heeft MS het nog steeds niet voor elkaar code en tekst te scheiden?

[g4wx3]

Dit snap ik dus ook echt niet!?
Zijn er variablen die een andere naam krijgen in een andere taal? dit is absurd?

[Niemand_Anders]

Nee. Volgens mij vergeten de meeste hier even hoe microsoft zijn software distributeerd, namelijk in binaire vorm. Dus bij het compileren worden de resources (teksten, icons, images, etc) aan de code toegevoegd dat dat geeft het eindresultaat wat vervolgens als patch beschikbaar wordt gemaakt.

Overigens heeft niet alleen Microsoft last van dit probleem, maar ok bijvoorbeeld Mozilla. Ook bij hun kun je eerder de Engelse versie downloaden dan de Nederlandse. Bij nieuwe versies heb je echter te maken met nieuwe functionaliteiten waardoor je dus op vertalingen moet wachten. In dit geval betreft het een broncode fix en ben je dus niet afhankelijk van vertalingen (want die zijn niet veranderd).

I18N (gettext) is helaas niet een standaard onder windows en daarom moeten de wijzigingen voor windows dus in elke taal opnieuw gecompileerd worden. Zo hebben wij via LC_LANGUAGE op Nederlandse staan voor spamassassin zodat rapportages en teksten in het Nederlands zijn, terwijl de 'basis' taal van de servers Engels blijft.

Het is dus niet zo dat zij 133 keer de wijziging moeten doorvoeren, maar eerder 133 maal het compiler process moeten starten.

Maar aangezien developers een zeer klein deel van de gebruikers betreft is dit een 'goed' excuus om extra tijd te winnen.

[johnbetonschaar]

Het is dus niet zo dat zij 133 keer de wijziging moeten doorvoeren, maar eerder 133 maal het compiler process moeten starten.

En dat duurt 3 weken???

[Verwijderd]

Het is ook belangrijk dat DNS servers andere talen met elkaar kunnen spreken.
Anders komen ze nooit de grens over......

[Gustaaf437]

Dat is nou juist handiger aan een systeem dat in 1 taal spreekt onderhuids, maar zich in verschillende talen presenteert. Het is veel makkelijker om alleen maar de language-strings te vertalen dan de hele broncode. Bovendien is het goedkoper en sneller.

[praseodymium]

Voor Windows zijn er gewoon MUI-packs; op Vista Ultimate kun je b.v. per gebruiker een eigen taal selecteren. Code en tekst zijn dus wel gescheiden. Beetje raar verhaal dit.

[Neko Koneko]

Maar dit is geen Windows Vista, dit is server 2000 en server 2003.

[Verwijderd]

Waarbij Server 2003 precies dezelfde functionaliteit bezit van verschillende talen per gebruiker.

[graey]

Daar ging ik toch wel van uit...
Lijkt me echt heel apart, maar zoals het er hier uitziet lijkt het alsof ze inderdaad alle tekst hardcoden. En dat terwijl ik als noobje zelfs vroeger in vb al tekst en code apart hield

[YaPP]

Heeft MS het nog steeds niet voor elkaar code en tekst te scheiden?

Vreemd genoeg niet. Linux heeft misschien veel niet voor elkaar, maar taalondersteuning wel. Je kunt meerdere taalpakketten op hetzelfde systeem hebben, iedere gebruiker kan dus in een andere taal werken. En zo'n taalpakket kan achteraf geinstalleerd worden.

Taal en code tegelijk betekend dus ook 133x een download aanbieden, en 133x kans op fouten als het ingewikkelde patches zijn.

[Ge Someone]

Kan (sinds Windows 2000) ook in Windows. MUI, Multilanguage User Interface. Moet je er wel apart bij kopen en werkt niet op XP Home.

[mieJas]

Ik denk dat het wat overtrokken is. De interface veranderd namelijk niet, enkel de onderliggende code.

Er wordt, denk ik, gewoon bedoeld, dat het perfect op systemen met een andere taal dan Engels kan worden geïnstalleerd.

[psyBSD]

En zoiets is vreemd genoeg alleen bij microsoft een probleem.

[doelman]

Ik ben geen MS fan, maar zoek jij de definitie van noob maar is op Professor:

http://nl.wikipedia.org/wiki/Newbie

[marcieking]

Zoek maar is op?
Zoek jij dan even op hoe de Nederlandse taal in elkaar zit?

[Limaad]

zoek jij maar is op wat het verschil tussen newbie en noob is dan nerd.
(moest ff zo gezegd worden)
newb = beginneling
noob = gewoon een idioot die iets al langer kan gebruiken

capish?

[Verwijderd]

ZIjn er misschien 133 patches toegevoegd, 1 voor elke taal, omdat er misschien nieuwe fout meldingen erbij zijn gekomen? Die meldingen moeten dan in elk taal worden toegevoegd.

[Verwijderd]

Een heel jaar wachten op een patch

edit: in het bronartikel staat mei. Ik dacht al dat het redelijk lang was

[TommyGun]

Moet volgens mij mei zijn

[Verwijderd]

8 april dat is nog bijna een jaar.

Dit een typefout moet 8 mei zijn zie:

While we don’t have a firm estimate on when we’ll complete our development and testing of updates for this issue, we have teams around the world working on it twenty-four hours a day, and hope to have updates no later than May 8, 2007 for the May monthly bulletin release.

[N-Freak]

Heeeeee! Dan ben ik jarig!

[aequitas]

Alleen jammer dat je vrienden dan niet op je verjaardag komen omdat ze het te druk hebben met het installeren van de patch

[Verwijderd]

Tja, je nou eenmaal mensen die (joost mag weten waarom) persé een Nederlands-talige server willen draaien

[Rhapsody]

Bij sommige mensen kan Microsoft het simpelweg niet goed doen, wat ze ook doen.

OT: Wordt er niet gewoon aan 1 update gewerkt en moet die vervolgens in 132 overige talen vertaald worden?

[Soldaatje]

Niks vertalen, zit geen tekst in.

[coretx]

Ik ben absoluut GEEN M$ fan, ik verafschuw ze.

Echter, opmerkingen like " Heeft MS het nog steeds niet voor elkaar code en tekst te scheiden? "

En ander onozel hersenloos gebash is echt te triest voor woorden.

Leer eerst eens het systeem kennen voordat je het veroordeeld.

De verschillende Return adressen, maakt het nml ook VEEL moeilijker om een goed werkende exploit te schrijven.
In het geval van de RPC/DNS vuln, weet ik het niet zeker.

Maar in het verleden is het dus WEL zo geweest, dat men voor ELKE versie een andere sploit mocht gaan schrijven....
Tegen de tijd dat je de juiste te pakken hebt, is MS al klaar met de patches.

Als MS dus wel, code en schrift had gescheiden, dan hadden alle rpc/dns bakken nu geroot geweest.

Kortom;

Aantal exploits nodig voor 100% dekking MS software, 133
Aantal exploits nodig voor 100% dekking zelfingenomen tweakers, 1

En dan hebben we het nog niet eens over performance gehad

[Verwijderd]

Er is een windows multilingual version (sinds windows 2000) en er zijn localised versions.

[lamme23]

Wat een waardeloze setup dan. Je hoeft toch alleen een multilingual op te zetten? Wil je de Engelse, neem je de Engelse tabel. Doen we bij onze eigen software ook...

Of zijn ze dan bang dat de taal lookup table te makkelijk gedistribueerd wordt?

[Motrax]

Lang duren voordat er een patch is uitgebracht? Heb je enig idee hoeveel tijd er in gaat zitten om te testen of de patch wel goed genoeg is en geen impact heeft op andere dingen?

2.5 weken is heel erg snel... het zou met niet verbazen als deze patch onverwachte problemen gaat veroorzaken op een paar systemen en er nog een patch overheen komt om de voorgaande patch te fixen.