Hackers spelen haasje-over met Microsoft
Het betreft drie lekken in Windows Client/Server Run-time Subsystem (CSRSS), waarvoor ook Vista kwetsbaar is. Tevens worden een lek gedicht in Universal Plug en Play, een in Microsoft Agent URL Parsing en twee in de Microsoft Content Management Server. Bovendien bevat deze ronde een patch voor een ‘privilege escalation’-lek in de Windows Kernel.
Spoedpatch
Deze patchronde bevat ook een hotfix voor de spoedpatch die vorige week werd uitgebracht voor de ANI-worm die zich binnen enkele dagen snel verspreidde. Ook hiervoor was Vista overigens kwetsbaar. De haast die Microsoft had met het uitbrengen van deze patch zorgde ervoor dat nogal wat gebruikers problemen kregen na het installeren ervan. De patch zorgde voor problemen met Realtek-drivers, TUGZip en CDTag.
Bovendien werkte de software van de Duitse belastingdienst niet meer door de patch. Duitse bedrijven hadden op straffe van een boete voor 10 april hun aangifte moeten doen met behulp van deze software.
Microsoft bracht dit jaar al drie keer een tussentijdse spoedpatch uit naar aanleiding van reeds misbruikte lekken. Het bedrijf is daar echter niet happig op, omdat een patch, naar nu ook weer blijkt, uitgebreid getest moet worden op mogelijke conflicten met andere applicaties, voordat hij wereldwijd verspreid kan worden. Om die reden wordt ook vaak afgeraden de officieuze patches van derden te installeren, die vaak bij zero day exploits worden uitgebracht.
Softwaremakers hebben allemaal te maken met het dilemma snel of degelijk patchen. Hackers profiteren hiervan. Zo meldt beveiliger McAfee dat hackers deze week drie nieuwe zero day exploits in Office hebben bekendgemaakt. Zij doen dat graag rond de maandelijkse patch-dinsdag van Microsoft omdat ze dan minstens een maand de tijd hebben om met de kwetsbaarheden te experimenteren – vaak zelfs langer. Het kost Microsoft gemiddeld 21 dagen om een lek te dichten, volgens het meest recente Internet Security Threat Report van Symantec. Daarmee is het bedrijf zelfs nog de snelste, want Apple doet er gemiddeld 66 dagen over en Sun zelfs 122.
De spoedpatch van vorige week kostte het bedrijf overigens een paar maanden om te maken. Beveiligers betwijfelen bovendien of de extra week die Microsoft had gehad tot de huidige patchronde genoeg was geweest om de problemen met die spoedpatch te voorkomen.
Het is ook nog maar de vraag of Microsoft de drie nieuwste lekken in Office volgende maand al zal dichten. Er staan nog zeker twee andere reeds bekende lekken in Office te wachten op een patch.