Computerbeveiliging - Hoe je bad guys buiten de deur houdt

Update Catalog ipv Download Center

22-04-2016, 13:17 door Spiff has left the building, 18 reacties
Laatst bijgewerkt: 17-10-2016, 13:15
 
Relevant voor wie (af en toe) Microsoft updates zoekt buiten Windows Update om, via Microsoft Download Center -
Het downloaden via Microsoft Update Catalog gaat het downloaden via Microsoft Download Center vervangen.

Microsoft Sec Notification
Microsoft Security Bulletin Releases
April 19, 2016
http://seclists.org/microsoft/2016/q2/6
Effective as of the May 2016 security bulletin release, all Windows updates will be available only via the Microsoft Update Catalog (http://catalog.update.microsoft.com/), and will no longer be available on the Microsoft Download Center (http://download.microsoft.com/). Making the updates available from only one location simplifies the process for our customers of finding and downloading security updates.

Overigens, wat bezielt Microsoft in vredesnaam om in die mededeling http-URL's aan te reiken, in plaats van secure https!
https://catalog.update.microsoft.com/

Aanvulling, 22-04:
Als ik het goed begrijp vereist Microsoft Update Catalog het gebruik van Internet Explorer,
met nota bene installatie van een Microsoft Update Catalog ActiveX control.
Zie mijn post van 22-04-2016, 23:46 uur, hieronder.

Aanvulling, 30-04:
Microsoft TechNet, MSRC
Changes to Security Update Links
April 29, 2016
https://blogs.technet.microsoft.com/msrc/2016/04/29/changes-to-security-update-links/
Starting May 10, some updates will no longer be available from the Microsoft Download Center.
Hmm...
"some updates will no longer be available from the Microsoft Download Center" dat vind ik nogal wat anders dan
"all Windows updates will be available only via the Microsoft Update Catalog, and will no longer be available on the Microsoft Download Center" zoals op 19 april vermeld in de Microsoft Sec Notification op seclists.
Het lijkt me weer zo'n voorbeeld van verschillende Microsoft kanalen die net wat anders zeggen, met content die langs elkaar knarst, zodat onduidelijk is hoe de situatie nu werkelijk is.

30-04:
Zie ook het artikel van de Security.NL redactie over het onderwerp:
https://www.security.nl/posting/469425/Microsoft+Download+Center+bevat+niet+meer+alle+updates

Aanvulling, 17-05:
Microsoft TechNet, Windows for IT Pros
Simplifying updates for Windows 7 and 8.1
May 17, 2016
https://blogs.technet.microsoft.com/windowsitpro/2016/05/17/simplifying-updates-for-windows-7-and-8-1/
For those who aren't familiar with the Microsoft Update Catalog website, note that it still requires using Internet Explorer at this point because of an ActiveX control used. Later this summer, we will be updating the site to eliminate the ActiveX control in order to support other browsers.
De Microsoft Update Catalog website wordt vanaf later deze zomer dus ook te gebruiken met andere browsers dan Internet Explorer. Beter laat dan nooit.

Aanvulling, 16-10:
Inmiddels blijkt de nieuwe Microsoft Update Catalog nu online te zijn:
https://www.catalog.update.microsoft.com/
Die nieuwe versie is niet meer afhankelijk van IE met ActiveX control.
Echter, de URL zonder www verwijst momenteel nog naar de oude pagina, zie:
https://catalog.update.microsoft.com/
Die oude Microsoft Update Catalog pagina is nog steeds afhankelijk van IE met ActiveX control.

 
Reacties (18)
22-04-2016, 15:00 door [Account Verwijderd] - Bijgewerkt: 22-04-2016, 15:00
Ik ben benieuwd. Ik downliad wel eens updates via het Microsoft Download Center, maar ik vind de laatste tijd het Microsoft Download CenterMicrosoft Download Center niet meer zo fijn werken als eerst ik merk dat ik meer moeite moet doen om te vinden wat ik zoek.

Hopelijk gaat het downloaden van updes via het Microsoft Update Catalog fijner werken.

Bedankt voor de nuttige informatie Spiff.
22-04-2016, 23:46 door Spiff has left the building
Wel ******* !!
Nee, laat ik niet vloeken op Security.NL.
Maar ik kan hier niet om lachen:

Als ik het goed begrijp vereist Microsoft Update Catalog het gebruik van Internet Explorer,
met nota bene installatie van een Microsoft Update Catalog ActiveX control.

Is die Microsoft Update Catalog ActiveX control niet geïnstalleerd in Internet Explorer,
en is in Internet Explorer de optie ActiveX Filtering niet ingeschakeld,
dan opent Microsoft Update Catalog met de
https://catalog.update.microsoft.com/v7/site/Install.aspx pagina,
waar aangeboden wordt de Microsoft Update Catalog ActiveX control te installeren.

Met in Internet Explorer de optie ActiveX Filtering wel ingeschakeld,
wordt niet aangeboden de Microsoft Update Catalog ActiveX control te installeren.

In beide gevallen levert een zoekopdracht in Microsoft Update Catalog geen resultaten, maar slechts weer de
https://catalog.update.microsoft.com/v7/site/Install.aspx pagina.

Die Microsoft Update Catalog lijkt werkelijk enkel bruikbaar met Internet Explorer,
met installatie van een Microsoft Update Catalog ActiveX control
en uitgeschakelde ActiveX Filtering.

Daar zal beslist niet iedereen zo blij van worden.
Kun je je voorstellen dat ik er bijna van wilde vloeken op Security.NL? ;-)
23-04-2016, 12:29 door [Account Verwijderd]
Mocht het inderdaad zo zijn dat Microsoft Update Catalog het gebruik van Internet Explorer,
met installatie van een Microsoft Update Catalog ActiveX control, vereist, betwijfel ik of ik gebruik van maken.

Ik kan met het bijna vloeken enigsinds voorstellen Spiff. Wordt er zelf ook niet zo vrolijk van.
23-04-2016, 12:57 door Spiff has left the building
Ook in een bericht van LL, geplaatst door Woody Leonhard, wordt vermeld dat Microsoft Update Catalog het gebruik van Internet Explorer vereist, en in de comments wordt meerdere keren aangegeven dat tevens de installatie van een Microsoft Update Catalog ActiveX control vereist is, zie:
http://www.askwoody.com/2016/future-windows-patches-only-available-in-the-update-catalog/

Zou Microsoft het gebruik van Microsoft Update Catalog ook geschikt willen maken voor het nieuwe kindje Edge, dan bestaat er misschien een kansje dat het bovengenoemde nog verandert.
Echter, op Windows 10 wordt naast Edge ook IE11 nog aangeboden, dus er lijkt voor Microsoft geen noodzaak te bestaan Microsoft Update Catalog geschikt te maken voor Edge (en andere browsers).
24-04-2016, 11:53 door FSF-Moses
Als het je alleen om de KB-updates gaat dan kun je nog steeds via de onderstaande link gebruik maken van het Download Center van MS:

https://support.microsoft.com/en-us/kb/<vul hier het KB nummer in zonder KB>

De MS Security Bulletins pagina's zijn nog bereikbaar onder de deze link:

https://technet.microsoft.com/en-us/library/security/dn631937.aspx

Bovenstaande links werken gewoon met Firefox (38.7.1 getest) en ik vermoed ook met andere browsers dan MSIE. Wat wel opvallend is dat wanneer je een download via de KB database gaat doen, het bekende Download Center nog wel gewoon beschikbaar is.

https://www.microsoft.com/en-us/download

Ik zou de laatste link na Mei 2016 nog wel even in de gaten houden. Hopelijk blijft deze werken voor de niet-MSIE gebruikers...
24-04-2016, 12:02 door Anoniem
Dit zal waarschijnlijk bedoeld zijn om onafhankelijke updaters als WSUS Offline buiten bedrijf te stellen?
Wel jammer want dit is een handig tool om de kunstmatige problemen die Microsoft rond het updaten van
oudere Windows versies creeert te omzeilen.
24-04-2016, 13:04 door remco8264
Door FSF-Moses: Als het je alleen om de KB-updates gaat dan kun je nog steeds via de onderstaande link gebruik maken van het Download Center van MS:

Ik denk dat dit alleen geldt voor nieuwe updates (die vanaf nu uitkomen). Als je op https://support.microsoft.com/en-us/kb/894199 kijkt bij de updates die op 19 april zijn uitgekomen, dan staat daar geen Download Center-link meer bij, maar wel

Method 2: Microsoft Update Catalog
To get the stand-alone package for this update, go to the Microsoft Update Catalog website.
24-04-2016, 13:07 door FSF-Moses
Aaah, dat had ik nog niet gezien. Had enkel een paar oudere KB's gecontroleerd.

Nou, we zullen zien hoe dit uitpakt voor de toekomst.
24-04-2016, 13:32 door Spiff has left the building
Door FSF-Moses, 11:53 uur:
Als het je alleen om de KB-updates gaat dan kun je nog steeds via de onderstaande link gebruik maken van het Download Center van MS: [...]
Door remco8264, 13:04 uur:
Ik denk dat dit alleen geldt voor nieuwe updates (die vanaf nu uitkomen). [...]

De mededeling van Microsoft begint met:
Effective as of the May 2016 security bulletin release, all Windows updates will be available only via the Microsoft Update Catalog [...]
Dat zegt dus niet alleen nieuwe updates, maar "all" Windows updates. Ik lees "all" als 'ook de eerdere'.
Maar hoe dan ook, het is pas "Effective as of the May 2016 security bulletin release". Dus pas in mei kunnen we zien hoe het precies uitpakt.
24-04-2016, 19:26 door Spiff has left the building
Door Anoniem, 12:02 uur:
Dit zal waarschijnlijk bedoeld zijn om onafhankelijke updaters als WSUS Offline buiten bedrijf te stellen?
Wel jammer want dit is een handig tool om de kunstmatige problemen die Microsoft rond het updaten van oudere Windows versies creeert te omzeilen.
Is WSUS Offline Update afhankelijk van Microsoft Download Center? Op welke manier?
Ik hoop het niet, voor de WSUS Offline Update gebruikers.
Zou WSUS Offline Update werkelijk afhankelijk zijn van Microsoft Download Center, dan hoop ik dat dat probleem te omzeilen is.
24-04-2016, 19:41 door Anoniem
Door Spiff:
Door Anoniem, 12:02 uur:
Dit zal waarschijnlijk bedoeld zijn om onafhankelijke updaters als WSUS Offline buiten bedrijf te stellen?
Wel jammer want dit is een handig tool om de kunstmatige problemen die Microsoft rond het updaten van oudere Windows versies creeert te omzeilen.
Is WSUS Offline Update afhankelijk van Microsoft Download Center? Op welke manier?

Uiteraard. WSUS Offline update download de updates uit het Microsoft Download Center.
Dat die Update Catalog een speciale Active-X app nodig heeft zal ongetwijfeld zijn om alleen door Microsoft toegestane
programma's de updates te laten ophalen.
24-04-2016, 20:25 door Spiff has left the building - Bijgewerkt: 24-04-2016, 20:56
Door Anoniem, 19:41 uur:

Uiteraard. WSUS Offline update download de updates uit het Microsoft Download Center.
Dat die Update Catalog een speciale Active-X app nodig heeft zal ongetwijfeld zijn om alleen door Microsoft toegestane programma's de updates te laten ophalen.

De navigatie en het zoeken in Microsoft Update Catalog is anders dan in het Microsoft Download Center.
Zoeken in Microsoft Update Catalog is afhankelijk van IE met Microsoft Update Catalog ActiveX control.

Echter, ik weet niet of de direct download URL's die je kunt vinden via Microsoft Update Catalog en Microsoft Download Center anders zijn, of misschien hetzelfde.
Is de direct download URL niet anders, maar hetzelfde voor een bepaalde download, dan kan die URL na het kopiëren ervan gewoon vanuit elke browser of applicatie worden geopend. Enkel voor het zoeken in Microsoft Update Catalog ben je dan afhankelijk van IE met Microsoft Update Catalog ActiveX control.
N.B. Of de direct download URL's die je kunt vinden via Microsoft Update Catalog en Microsoft Download Center misschien hetzelfde zijn, of niet, dat heb ik nog niet onderzocht. Ik heb eerlijk gezegd nog geen zin die Microsoft Update Catalog ActiveX control te installeren als ik die nog niet per se nodig heb.
25-04-2016, 00:16 door remco8264 - Bijgewerkt: 25-04-2016, 00:17
Ik heb het getest met één update van deze maand (KB3145739, versie voor Windows 8.1 32-bits) en de links lijken te verschillen:

Microsoft Update Catalog:
http://download.windowsupdate.com/d/msdownload/update/software/secu/2016/03/windows8.1-kb3145739-x86_9a5c3fb8b759e2785bae7d49df06bef407497276.msu

Download Center:
https://download.microsoft.com/download/D/3/A/D3A62CD1-FD06-420F-A4C9-5E2189B3B9CB/Windows8.1-KB3145739-x86.msu

Overigens gebruikt de Update Catalog een eigen downloadprogramma. Je kunt de downloadlink alleen achterhalen door de broncode van de pagina door te spitten.
25-04-2016, 10:11 door Spiff has left the building - Bijgewerkt: 25-04-2016, 11:25
Door remco8264, 00:16 uur, bijgewerkt 00:17 uur :
Ik heb het getest met één update van deze maand (KB3145739, versie voor Windows 8.1 32-bits) en de links lijken te verschillen: [...]
Dankjewel, remco8264.
Dat zou dan wellicht betekenen dat services zoals WSUS Offline update aanpassingen moeten maken om de boel werkend te houden, zoals Anoniem van gisteren (zo.24-04) 12:02 uur dat aanstipte.
30-04-2016, 18:40 door Spiff has left the building - Bijgewerkt: 30-04-2016, 18:49
Microsoft TechNet, MSRC
Changes to Security Update Links
April 29, 2016
https://blogs.technet.microsoft.com/msrc/2016/04/29/changes-to-security-update-links/
Starting May 10, some updates will no longer be available from the Microsoft Download Center.
Hmm...
"some updates will no longer be available from the Microsoft Download Center" dat vind ik nogal wat anders dan
"all Windows updates will be available only via the Microsoft Update Catalog, and will no longer be available on the Microsoft Download Center" zoals op 19 april vermeld in de Microsoft Sec Notification op seclists.
Het lijkt me weer zo'n voorbeeld van verschillende Microsoft kanalen die net wat anders zeggen, met content die langs elkaar knarst, zodat onduidelijk is hoe de situatie nu werkelijk is.

Zie ook het artikel van de Security.NL redactie over het onderwerp:
https://www.security.nl/posting/469425/Microsoft+Download+Center+bevat+niet+meer+alle+updates
17-05-2016, 21:01 door remco8264
De Microsoft Update Catalog zal vanaf deze zomer ook via andere browsers bereikbaar zijn:

''For those who aren’t familiar with the Microsoft Update Catalog website, note that it still requires using Internet Explorer at this point because of an ActiveX control used. Later this summer, we will be updating the site to eliminate the ActiveX control in order to support other browsers.''

Bron: https://blogs.technet.microsoft.com/windowsitpro/2016/05/17/simplifying-updates-for-windows-7-and-8-1/
17-05-2016, 21:29 door Spiff has left the building
@ remco8264, 21:01 uur,
Hartelijk dank voor je bericht.
Ik heb die informatie inmiddels ook als een aanvulling toegevoegd aan het startbericht van deze thread.
16-10-2016, 21:05 door Spiff has left the building - Bijgewerkt: 17-10-2016, 13:17
 
Inmiddels blijkt de nieuwe Microsoft Update Catalog nu online te zijn:
https://www.catalog.update.microsoft.com/
Die nieuwe versie is niet meer afhankelijk van IE met ActiveX control.

Echter, de URL zonder www verwijst momenteel nog naar de oude pagina, zie:
https://catalog.update.microsoft.com/
Die oude Microsoft Update Catalog pagina is nog steeds afhankelijk van IE met ActiveX control.

Dank aan remco8264 (https://www.security.nl/posting/488429#posting489040) voor die informatie.

Ik heb die informatie inmiddels ook als een aanvulling toegevoegd aan het startbericht van deze thread.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.