Microsoft liet vorige week weten dat het geen patch voor het TCP-lek in Windows XP zal uitbrengen, daarom vragen sommige gebruikers of niemand anders een update wil ontwikkelen. "Ik vraag me af er geen brave borsten zijn die al aan een opensource patch voor dit probleem binnen XP werken of dit willen", zegt Aras "Russ" Memisyazici, systeembeheerder aan de Virginia Tech Universiteit.

Microsoft liet weten het "sockstress-lek" niet te zullen dichten, omdat het besturingssysteem standaard geen listening service in de client firewall heeft ingesteld, en daardoor niet kwetsbaar is. Verder zou de kwetsbaarheid alleen maar voor een denial of service zorgen waar het systeem zelf van herstelt en beschikt XP over een firewall die de computer tegen inkomend verkeer beschermt. Daarnaast zou het teveel werk zijn om de patch voor Windows XP te laten werken. "Wie weet hoeveel applicaties stuk gaan die voor XP ontworpen zijn als ze radicaal de TCP/IP stack veranderen", laat Eric Lukens weten, IT Security Policy en Risk Assessment analist aan de Universiteit van Noord Iowa.

Tijdbom
Toch lijkt de softwaregigant met het niet patchen van de kwetsbaarheid tegen de eigen levenscyclus in te gaan, want officieel wordt Windows XP tot april 2014 van updates voorzien. Volgens Susan Bradley is het niet dat Microsoft het besturingssysteem niet ondersteunt, maar dat het de gevolgen van een Denial of Service laag inschat, de mogelijkheid tot patchen onmogelijk/moeilijk acht en vervolgens een risicoberekening maakt, waarbij de uitkomt geen patch is. "Soms is de architectuur wat die is."

Op de Full-Disclosure mailinglist is inmiddels een discussie over het lek, de omschrijving en eventuele patch gaande. De consensus is dat de omschrijving die Microsoft hanteert niet erg duidelijk is en bijdraagt aan de verwarring. "Het lijkt erop dat de marketing afdeling het bulletin onder handen heeft genomen." Wat betreft het patchen vindt James Lay dat het probleem niet genegeerd mag worden. "Remote code of DoS, het is nog steeds een tijdbom. PCI DSS eist dat dit soort dingen worden gepatcht of verholpen als die in een omgeving met data van kaarthouders wordt geplaatst. Het niet patchen betekent extra werk voor bedrijven die creditcards verwerken en XP draaien."