De beveiligingsonderzoeker die een ernstig beveiligingslek in Windows Vista en Server 2008 ontdekte, waardoor aanvallers op afstand kwetsbare systemen kunnen laten crashen en overnemen, heeft dit bewust wereldkundig gemaakt omdat het probleem zo eenvoudig te vinden was. "Deze simpele fuzzer wist SMB2 in 3 seconden te kraken. Niks bijzonders. Veel beveiligingsgoeroes beweerden dat het auditen van SMB/ Netbios/ TCP-IP bij Microsoft tijdsverspilling was. Daar ben ik het niet mee eens en ik geef er zeker de voorkeur aan om op deze manier mijn tijd te verspillen", aldus Laurent Gaffie. Hij publiceerde op 8 september zijn proof-of-concept exploit op de Full-Disclosure mailinglist. De kwetsbaarheid zou zelfs voor een tweede Conficker worm kunnen zorgen, zo waren sommige experts bang.

Gaffie zou veertig e-mails met het Microsoft Security Response Center (MSRC) hebben uitgewisseld over de bekendmaking van de kwetsbaarheid. "Ik zou een gecoördineerde bekendmaking hebben gedaan als het lek ietsje moeilijker te vinden was. Deze bug is een goed voorbeeld van hoe aannames voor problemen kunnen zorgen en hoe je niet op relationele marketing kunt vertrouwen." Microsoft zou de code van SMB2 hebben geaudit en al meer dan 10.000 verschillende tests hebben uitgevoerd. Daarbij wilde het eerst nog stress testen en fuzzen voordat men de update zou uitbrengen. "Dat klinkt aardig en transparant, maar als ze dit met de MS07-063 patch hadden gedaan, hadden ze dit lek in drie seconden gevonden en niet in vier weken en dat is een feit." Microsoft is het hier niet mee eens en liet eerder al weten dat het lek niet door de patch werd veroorzaakt.

Alarmfase oranje
Ruud de Jonge van Microsoft Nederland noemt het een vervelend lek. Microsoft ziet op dit moment een bepekt aantal exploits voorbij komen. "Tegelijkertijd vinden we hem wel heel belangrijk om te fixen." Het probleem met de update is dat je "het SMB-protocol niet zomaar om zeep kunt helpen. Je wilt er zeker van zijn dat de patch die je introduceert geen dingen stuk of functionaliteiten onmogelijk maakt." Dat is volgens De Jonge een lastige balans. "En als die fix er is, moeten wij een afweging maken of het zin heeft om deze out-of-band uit te brengen of niet." De softwaregigant monitort misbruik van de kwetsbaarheid om te bepalen of er een noodpatch moet verschijnen.

Aangezien er nog steeds geen aanvallen in het wild zijn gedetecteerd, blijft Microsoft de update testen. "Normaal kan dat weken duren, maar afhankelijk van de ernst van het probleem, kunnen we beslissen om de patch die we al ongetwijfeld hebben, uit te brengen." De Jonge krijgt elke dag een update vanuit het hoofdkantoor over de situatie, die inmiddels alarmfase "oranje" heeft gekregen. Volgens hem staat Microsoft standby om de update uit te rollen mocht daar aanleiding toe zijn, bijvoorbeeld in het geval van een wormuitbraak. Toch lijkt dit niet te gebeuren, zoals een andere onderzoeker laatst al opmerkte. Volgens Dave Aitel zijn de huidige exploits nog niet van voldoende kwaliteit en kost het aanpassen ervan zoveel tijd, dat Microsoft patchdinsdag dan al gepasseerd is.