Een ernstig beveiligingslek in Windows heeft Microsoft pas na zeven jaar weten te patchen en de softwaregigant geeft nu uitleg waarom dit zolang moest duren. De aanval die Microsoft Security Bulletin MS08-068 verhelpt is al sinds maart 2001 bekend. Iemand die Internet Explorer of Outlook gebruikt kan gedwongen worden om met een kwaadaardige SMB service verbinding te maken. Hiervoor volstaat het openen van een e-mail of website met een verborgen UNC link. De kwaadaardige server weigert anonieme gebruikers, waarna Windows probeert in te loggen met de gebruikersnaam, domein en wachtwoord van de ingelogde gebruiker. Die gegevens kan de aanvaller dan gebruiken om verbinding met de computer van het slachtoffer te maken en daar willekeurige code met de rechten van de gebruiker uit te voeren.
De aanval is sinds juli 2007 al onderdeel van de bekende hackertool Metasploit. De vraag die iedereen had hoe het kon dat Microsoft deze kwetsbaarheid zo lang links heeft laten liggen. Volgens Christopher Budd van het Microsoft Security Response Center (MSRC) kon men het lek destijds niet dichten, omdat dit teveel negatieve gevolgen voor de netwerken van klanten zou hebben. "De impact zou zijn dat veel, of bijna alle, netwerk-gebaseerde applicaties van klanten niet meer zouden werken."
Microsoft zegt het probleem niet te zijn vergeten en was continu op zoek naar een oplossing die geen schade zou veroorzaken en er ook niet voor zorgde dat ontwikkelaars hun applicaties moesten herschrijven. Het afgelopen jaar kreeg Microsoft het inzicht dat het wel mogelijk was om de aanpassingen door te voeren, zonder dat applicaties stopten met werken. Na een uitgebreide testperiode verscheen dan ook afgelopen dinsdag de langverwachte patch.
Deze posting is gelocked. Reageren is niet meer mogelijk.