Computerbeveiliging - Hoe je bad guys buiten de deur houdt

Ms Visual C++ 2008 probleem

05-08-2010, 00:24 door Spiff has left the building, 13 reacties
Bij scannen met Secunia PSI kwam ik zonet wat raars tegen.
Secunia PSI beweert dat Microsoft Visual C++ 2008 Redistributable Package insecure is en een update nodig heeft.
Merkwaardig, want Microsoft biedt die update niet aan via Windows/Microsoft Update.

Als online references geeft Secunia PSI dit:
http://secunia.com/advisories/35967/
http://secunia.com/advisories/product/26308/
http://www.microsoft.com/downloads/details.aspx?FamilyID=9b2da534-3e03-4391-8a4d-074b9f2bc1bf&displaylang=en

Als download solution geeft Secunia PSI dit:
http://www.microsoft.com/downloads/details.aspx?familyid=2051a0c1-c9b5-4b0a-a8f5-770a549fd78c&displaylang=en

Dit is wat je vindt op het Secunia Community Forum:
http://secunia.com/community/forum/programs/?app=26308
-->
http://secunia.com/community/forum/thread/show/4905/microsoft_visual_c_2008_service_pack_1_redistributable_package_atl_security_update
http://secunia.com/community/forum/thread/show/4898/no_newer_version_available_for_visual_c
http://secunia.com/community/forum/thread/show/4948/what_do_i_do_with_windows_7


Op mijn eigen systeem zie ik betreffende Microsoft Visual C++ 2008 Redistributable Package het volgende:

Onder geïnstalleerde updates:
Visual C++ 2008 x86 Runtime - v9.0.30729.01
datum 22-1-2009

En onder Programma's en onderdelen:
Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022.218
datum 4-6-2010 (waarschijnlijk meegekomen met een Silverlight update)

Secunia PSI benoemt de Microsoft Visual C++ 2008 Redistributable Package 9.0.21022.218 op mijn systeem als insecure.


In de Secunia Community Forum threads heerst nogal wat verwarring over wat er aan de hand is.
Ikzelf doorgrond niet wat er precies aan de hand is.

Iemand hier die wél kan doorgronden wat er aan de hand is met Microsoft Visual C++ 2008 Redistributable Package en Secunia PSI?

Bedankt alvast.


UPDATE
Subject-titel veranderd van "Ms Visual C++ 2008 of Secunia PSI probleem?"
naar "Ms Visual C++ 2008 probleem"
Reacties (13)
05-08-2010, 04:10 door Ilja. _V V
Door Spiff:
Secunia PSI benoemt de Microsoft Visual C++ 2008 Redistributable Package 9.0.21022.218 op mijn systeem als insecure.
Ok, ik ben het even voor je gaan opzoeken , Spiff, & op mijn eigen computer stond trouwens alleen versie 2005 met update via MS Update.

Dit is de versie waar jij het over hebt:
http://www.microsoft.com/downloads/details.aspx?familyid=2051a0c1-c9b5-4b0a-a8f5-770a549fd78c&displaylang=en.
Ik ben met deze begonnen:
http://www.microsoft.com/downloads/details.aspx?familyid=A5C84275-3B97-4AB7-A40D-3802B2AF5FC2&displaylang=en
daarna meteen MS-Update waarvan ik als enige essentiele update daarvoor deze kreeg:
Beveiligingsupdate voor herdistribueerbaar Microsoft Visual C++ 2008 pakket (KB973924) (http://support.microsoft.com/kb/973924)

Als ik dan mijn installatie versienummer met de jouwe vergelijk, dan begin ik met v9.0.30729.17 & jij met v9.0.30729.01.
Lijkt een klein verschil ( als dat geen typo is).
Mijn ATL-update is echter: versie 9.0.30729.4148. Dat is wel een groot verschil.

Ik weet dus niet waarvoor je dat pakket hebt geinstalleerd, bv. voor Office of Visual Studio, noem maar wat.
Dan word het weer verwarrend, want er zijn verschillende KB's over die ATL-update:
http://support.microsoft.com/kb/973924 & http://support.microsoft.com/kb/973551

Verder kan ik er niet meer soep van bakken, brood van brouwen... ;-)
05-08-2010, 08:58 door dim
Je hebt een oude versie van de Visual C++ runtime op je systeem. Windows Update geeft nooit updates voor deze runtimes, daarvoor moet je Microsoft Update hebben. Op mijn systeem geeft Microsoft Update gewoon netjes deze updates aan, waarom dat op jouw systeem niet gebeurt, is niet te achterhalen zonder meer informatie.

Maar waarom moeilijk doen, gewoon die update downloaden en installeren. Het is een beetje jammer dat Microsoft zo'n puinhoop heeft gemaakt van hun update systeem...
05-08-2010, 11:58 door Spiff has left the building
Dankjewel voor het meedenken, Ilja en Dim,

Door Ilja. _\\//: Als ik dan mijn installatie versienummer met de jouwe vergelijk, dan begin ik met v9.0.30729.17 & jij met v9.0.30729.01.
Lijkt een klein verschil ( als dat geen typo is).
Mijn ATL-update is echter: versie 9.0.30729.4148. Dat is wel een groot verschil.
Nee, die .01 was geen typo.

Ik weet dus niet waarvoor je dat pakket hebt geinstalleerd, bv. voor Office of Visual Studio, noem maar wat.
Weet ik jammer genoeg ook niet.
Geen Office of Visual Studio. Het enige dat ik kan vinden is dat 9.0.21022.218 op 4-6-2010 meegekomen lijkt met een Silverlight update.
Maar die update 9.0.30729.01 van 22-1-2009 moet op een andere manier binnengekomen zijn, met Microsoft Update, eventueel als optionele update waartoe ik verleid zou kunnen zijn.
Daarnaast staat er ook nog een versie en een update van de Microsoft Visual C++ 2005, maar daarover mekkert Secunia PSI niet.

Door dim: Je hebt een oude versie van de Visual C++ runtime op je systeem. Windows Update geeft nooit updates voor deze runtimes, daarvoor moet je Microsoft Update hebben. Op mijn systeem geeft Microsoft Update gewoon netjes deze updates aan, waarom dat op jouw systeem niet gebeurt, is niet te achterhalen zonder meer informatie.
Ik heb gewoon netjes Microsoft Update ingesteld, niet slechts Windows Update, dat is dus niet het probleem. Onduidelijk blijft waarom Microsoft Update lijkt te falen.

Maar waarom moeilijk doen, gewoon die update downloaden en installeren. Het is een beetje jammer dat Microsoft zo'n puinhoop heeft gemaakt van hun update systeem...
Yep.
Aan de slag maar.

Nogmaals bedankt, Ilja en Dim.
05-08-2010, 12:47 door Spiff has left the building
Zonet heb ik de door Secunia PSI voor mijn systeem aanbevolen Microsoft Visual C++ 2008 update gedownload en geïnstalleerd.
En zowaar, dat deed het 'm.
9.0.30729.4148 wordt nu netjes weergegeven in Windows Programma's en onderdelen.
Secunia PSI is er ook tevreden mee, blijkt bij opnieuw scannen. Da's beter dan ik verwachtte.

Maar ik blijf het een rare zaak vinden dat Microsoft Update die betreffende update niet aanbood.
Mooi dat Secunia PSI dit oppikte.
05-08-2010, 22:28 door Spiff has left the building
Ik heb een vriendin, wier nieuwe notebook met Win7 64bit ik een paar maanden geleden geïnstalleerd heb, aangeraden ook even te scannen met Secunia PSI (die ik natuurlijk voor haar meegeïnstalleerd had).
En wat? Ja hoor, blijkt ook een ungepatchte Microsoft Visual C++ 2008 op te staan. (Ook meegekomen met Silverlight? Of met Windows Live Mail? Of wordt Microsoft Visual C++ mogelijk standaard meegeïnstalleerd?)

Microsoft blundert flink.
Microsoft Update detecteert niet dat er patches voor Microsoft Visual C++ 2008 ontbreken en/of biedt geen updates hiervoor aan. Ronduit slecht.

Microsoft-mensen hier die meelezen?
06-08-2010, 03:53 door Ilja. _V V
Door Spiff:
Ook meegekomen met Silverlight? Of met Windows Live Mail? Of wordt Microsoft Visual C++ mogelijk standaard meegeïnstalleerd?
Ok, ter verduidelijking voor zover mij bekend als Microsoft-gezel: Er zit sowieso standaard een Visual C++ Runtime Library in je Windows, anders doen je knoppen het niet & zien het er niet leuk uit.
(Voor degenenen die het verschil willen kennen of de echte puristen: Klik Start, Uitvoeren, typ "msconfig", OK, tabblad "Boot.ini", vink "/NOGUIBOOT" aan, Toepassen, OK, Herstarten. !!! Op eigen risico !!!)

Echter, op het moment dat je Office 2003 of 2007 (etc.) geinstalleerd hebt, is die bibliotheek ontoereikend: Werkt het "lint" ("ribbon") niet. Zoals ik al eerder beschreef, had ik Visual C++ Runtime 2005 geinstalleerd staan, uiteraard met de ATL-update. Dat volstaat voor Office 2003 & 2007 (etc.).

Totdat ik Office Live erbij zet. Dan heb ik de C++ 2008 Runtime nodig, uiteraard weer met de ATL-update.
Office Live kan je installeren bij Office 2003 & 2007 (etc.) maar is ook een optie bij Windows Live Mail (dacht ik, niet helemaal zeker, gebruik zelf Office Live niet).
(N.B: Op mijn huis-tuin-keuken-kantoor-gooi-&-smijt-bestanden-heen-&-weer-server-2003 met Silverlight & alleen Live Messenger is dus geen Visual C++ Runtime aanwezig, 2005 noch 2008.)

Microsoft Silverlight is een op zichzelf staand pakket & equivalent, nee, da's niet het goede woord, soortgelijk aan Macromedia Flash.

Kan het nog zijn dat je van alles zelf wil programmeren in C++, & daarvoor is Visual Studio beschikbaar. Die heeft echter weer een compleet andere exclusief voor Visual Studio C++ Runtime bibliotheek, & ja, ook met ATL-update.
06-08-2010, 04:08 door Anoniem
Door Ilja. _\\//:
Door Spiff:
Ook meegekomen met Silverlight? Of met Windows Live Mail? Of wordt Microsoft Visual C++ mogelijk standaard meegeïnstalleerd?
Ok, ter verduideling voor zover mij bekend als Microsoft-gezel: Er zit sowieso standaard een Visual C++ Runtime Library in je Windows, anders doen je knoppen het niet & zien het er niet leuk uit.
(Voor degenenen die het verschil willen kennen of de echte puristen: Klik Start, Uitvoeren, typ "msconfig", OK, tabblad "Boot.ini", vink "/NOGUIBOOT" aan, Toepassen, OK, Herstarten. !!! Op eigen risico !!!)

Echter, op het moment dat je Office 2003 of 2007 (etc.) geinstalleerd hebt, is die bibliotheek ontoereikend: Werkt het "lint" ("ribbon") niet. Zoals ik al eerder beschreef, had ik Visual C++ Runtime 2005 geinstalleerd staan, uiteraard met de ATL-update. Dat volstaat voor Office 2003 & 2007 (etc.).

Totdat ik Office Live erbij zet. Dan heb ik de C++ 2008 Runtime nodig, uiteraard weer met de ATL-update.
Office Live kan je installeren bij Office 2003 & 2007 (etc.) maar is ook een optie bij Windows Live Mail (dacht ik, niet helemaal zeker, gebruik zelf Office Live niet).
(N.B: Op mijn huis-tuin-keuken-kantoor-gooi-&-smijt-bestanden-heen-&-weer-server-2003 met alleen Live Messenger is dus geen Visual C++ Runtime aanwezig, 2005 noch 2008.)

Microsoft Silverlight is een op zichzelf staand pakket & equivalent, nee, da's niet het goede woord, soortgelijk aan Macromedia Flash.

Kan het nog zijn dat je van alles zelf wil programmeren in C++, & daarvoor is Visual Studio beschikbaar. Die heeft echter weer een compleet andere exclusief voor Visual Studio C++ Runtime bibliotheek, & ja, ook met ATL-update.

Jouw verhaal over NOGUIBOOT is Grote Onzin. De C runtime is een verzameling standaard C functies die een C programma kan aanroepen. Dat heeft niets te maken met hoe Windows er uit ziet. Haal je de runtimes weg, dan doet Windows het niet, want Windows zelf is ook grotendeels geschreven in C. Er staat niet één C runtime op je PC, maar meerdere, ter ondersteuning van programma's die met diverse compilers gemaakt zijn, kijk maar eens in je system32 directory naar bestanden met de naam msvcr*.dll. Op de plaats van de asterix staan versienummers.

De Visual C++ 8.0 Redistibutable bevat nog meer onderdelen, zoals ATL.

Het is niet zo dat programma's een eigen runtime hebben, het begint altijd bij de compiler. Redistributable betekent letterlijk dat de ontwikkelaar deze bestanden mag re-distribueren met zijn programma. Dat geldt dus evenzeer voor Microsoft's eigen ontwikkelaars als voor derden. Diverse compiler versies/patch levels hebben diverse Redistrbutables.
06-08-2010, 08:17 door Anoniem
Dat die Ms Visual C++ 2008 installaties soms een beetje onduidelijk zijn daar kan ik nog inkomen doch de werking van Secunia PSI lijkt mij niet altijd correct.
Kwamen die Ms Visual C++ 2008 ook niet mee met installaties van sommige programmas, meestal PC games?)
Ik had het eens op een pc gezet bij wijze van proef en het gaf 1 programma dat verouderd was en dus een upgrade nodig had. Ik liet Secunia de upgrade zoeken wat het ook perfect gedaan heeft, de installatie naar behoren gedaan, maar...telkens weer gaf Secunia hetzelfde programma weer bij een nieuwe test als verouderd.
Ook IE8 gaf het aan als onveilig (tjah, het hele Internet is onveilig als je niet ff oplet)
Ook weer geen afdoende oplossing geboden.
Dus eraf dat hele zootje van Secunia, wegens niet echt geloofwaardig.
06-08-2010, 12:59 door Spiff has left the building
Door Anoniem, 8.17 uur: Ik had het [ Secunia PSI ] eens op een pc gezet bij wijze van proef en het gaf 1 programma dat verouderd was en dus een upgrade nodig had. Ik liet Secunia de upgrade zoeken wat het ook perfect gedaan heeft, de installatie naar behoren gedaan, maar...telkens weer gaf Secunia hetzelfde programma weer bij een nieuwe test als verouderd.
Mogelijk heb je wel de meest recente versie van dat betreffende programma geïnstalleerd, maar wordt dat betreffende programma niet meer ondersteund door de leverancier/maker van het programma. Je zult er dan geen updates meer voor kunnen krijgen wanneer er lekken in dat programma zouden zitten. Dat is een onwenselijke situatie, en daarom meldt Secunia PSI zo'n programma dan als "Verouderd" of "End-of-Life".
Wat je eens kunt doen, is op de site van de leverancier van het betreffende programma kijken of er misschien een geheel nieuwe versie-lijn van dat programma beschikbaar is. De kans bestaat dat Secunia PSI een geheel nieuwe versie-lijn van een programma niet herkent als upgrade voor een programma. (Vergelijk het met een overstap van Outlook Express naar Windows Live Mail. Die laatste zou beschouwd kunnen worden als een opvolger van die eerste, maar het is een compleet ander programma.)


Ook IE8 gaf het aan als onveilig (tjah, het hele Internet is onveilig als je niet ff oplet)
Ook weer geen afdoende oplossing geboden.
Die melding "Browser is onveilig", "Browser is insecure", laat inderdaad een onveiligheid zien in IE8, maar er bestaat daarvoor geen patch.
Dat is niet de fout van Secunia, maar van Microsoft.
Secunia kan daardoor niet verwijzen naar een oplossing.


Kortom,
Secunia PSI is een prachtig hulpje,
maar het is geen panacee voor alle problemen met verouderde programma's en voor alle lekken in software.
Het is altijd belangrijk om zelf even wat te zoeken naar aanvullende informatie en zo mogelijk zelf te (dubbel)checken welke updates of upgrades je nodig hebt.

Maar goed, dat is alles wat off-topic.
Waar het in dit topic met name om gaat, dat is dat Microsoft Update niet detecteert dat er patches voor Microsoft Visual C++ 2008 ontbreken en/of daarvoor geen updates aanbiedt.
06-08-2010, 13:36 door Ilja. _V V
Door Anoniem:
Jouw verhaal over NOGUIBOOT is Grote Onzin. (...) Dat heeft niets te maken met hoe Windows er uit ziet.
Dat was alleen maar een (overigens vrij onschuldig) voorbeeld om te laten zien hoe Windows eruit ziet zonder die hoofdzakelijk in C++ geschreven knopjes e.d. Natuurlijk kan het niet zonder die C++ Runtime's.
Beter voorbeeld was misschien geweest opstarten in veilige modus met opdrachtprompt.
Volgens mij zit er in Visual Studio B++ of C++ ook een speciale knop-editor, kan je bv. OK mee veranderen in Bah! Nee! ofzo.

Overigens is bewerken van wat je citeerde niet je sterkste kant he?

@ Anoniem daarna & Spiff: Dat Secunia PSI is alleen maar een hulpmiddel, & niet alles zaligmakend.
06-08-2010, 14:31 door Spiff has left the building
Door Ilja. _\\//: @ Anoniem daarna & Spiff: Dat Secunia PSI is alleen maar een hulpmiddel, & niet alles zaligmakend.
Yep! Dat wilde ik ook maar aangeven met wat ik schreef in m'n bericht van 12.59 uur.
06-08-2010, 16:17 door eMilt
Door Ilja. _\\//:
Dat was alleen maar een (overigens vrij onschuldig) voorbeeld om te laten zien hoe Windows eruit ziet zonder die hoofdzakelijk in C++ geschreven knopjes e.d. Natuurlijk kan het niet zonder die C++ Runtime's.
Die "knopjes" zitten niet in de Visual C++ runtime. De knopjes zijn onderdeel van Windows en de code daarvoor zit in USER32.DLL. Een aantal standaard dialogboxes zoals file open, print en save e.d. zitten in COMCTL32.DLL.

De Visual C++ runtime bevat veel meer de basis functies die een applicatie nodig heeft zoals string routines (upper case, lower case, samenvoegen, splitsen, zoeken), rekenkundige functies, geheugen functies (allocatie, copy, clear), etc.. Overigens heeft de programmeur de keus om al die functies uit de shared DLL's te gebruiken (kleinere executable en minder geheugen gebruik omdat de code shared is tussen applicaties) of om deze mee te linken in de code van zijn applicatie. Ik prefereer zelf altijd het laatste.
07-08-2010, 20:48 door Anoniem
Als je bvb DivX op je PC gaat zetten zie je tijdens de installatie daarvan ook C++ runtime voorbijschuiven...
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.