Microsoft Indeo fix NIET via Automatische Updates?!
19-12-2009,23:20 door
Ik vond het al stompzinnig dat Microsoft tijdens de afgelopen patchdinsdag een ernstige kwetsbaarheid (remote code execution o.a. door het bezoeken van een website) niet als een security update classificeert (zal wel weer met de achterlijke "wij zijn beter dan linux" strijd te maken hebben), maar wat ik veel ernstiger vind is dat deze update niet via automatic updates verspreid lijkt te worden, in elk geval niet voor PC's met XP-SP3.
Het gaat daarbij om "Update for Windows XP (KB955759), volgens Microsoft Update een High-priority update, en http://support.microsoft.com/kb/954157 zegt hier onder meer over:
Overigens is het geen echte patch, maar het ordinair uitschakelen (de-registreren) van de Indeo Codec. Desalniettemin een kennelijk noodzakelijke systeemwijziging die mogelijk op veel XP PC's niet wordt uitgevoerd terwijl de eigenaren braaf automatic updates aan hebben staan en daarmee veilig denken te zijn.
Verder staat in http://www.microsoft.com/technet/security/advisory/954157.mspx onder meer:
Hebben anderen ook gezien dat deze KB955759 oftewel KB954157 "update" (of wat het dan ook is) niet automatisch is geïnstalleerd op PC's waarop automatic updates aanstaat? Hoe zit het met andere operating systems dan XP-SP3?
Het gaat daarbij om "Update for Windows XP (KB955759), volgens Microsoft Update een High-priority update, en http://support.microsoft.com/kb/954157 zegt hier onder meer over:
Microsoft Security Advisory: Vulnerabilities in the Indeo codec could allow remote code execution: December 8, 2009
[...]
Microsoft has released a Microsoft security advisory about this issue for IT professionals. The security advisory contains additional security-related information. To view the security advisory, visit the following Microsoft Web site:
http://www.microsoft.com/technet/security/advisory/954157.mspx
Kortom, dit klinkt allemaal behoorlijk serieus. In http://www.microsoft.com/technet/security/advisory/954157.mspx waarnaar verwezen wordt is dit erg tweeslachtig:[...]
Microsoft has released a Microsoft security advisory about this issue for IT professionals. The security advisory contains additional security-related information. To view the security advisory, visit the following Microsoft Web site:
http://www.microsoft.com/technet/security/advisory/954157.mspx
Microsoft Security Advisory (954157)
Security Enhancements for the Indeo Codec
Published: December 08, 2009
Version: 1.0
[...]
The update is available through automatic updating and from the Microsoft Download Center.
Ook het US CERT (zie http://www.kb.cert.org/vuls/id/228561) meldt dat deze patch via automatic updates zou zijn verspreid. Echter, het lijkt er op (dit heb ik gezien op verschillende XP-SP3 PC's waarop automatic updates aanstaat, zie mijn vragen onderaan deze bijdrage) dat deze "patch" niet verspreid is via automatic updates.
Security Enhancements for the Indeo Codec
Published: December 08, 2009
Version: 1.0
[...]
The update is available through automatic updating and from the Microsoft Download Center.
Overigens is het geen echte patch, maar het ordinair uitschakelen (de-registreren) van de Indeo Codec. Desalniettemin een kennelijk noodzakelijke systeemwijziging die mogelijk op veel XP PC's niet wordt uitgevoerd terwijl de eigenaren braaf automatic updates aan hebben staan en daarmee veilig denken te zijn.
Verder staat in http://www.microsoft.com/technet/security/advisory/954157.mspx onder meer:
Why is this update not associated with a Security Bulletin?
This update is not associated with a security bulletin because it does not remediate specific vulnerabilities, but instead provides additional defense-in-depth mitigations to bring older operating systems closer to the same level of security protection as Windows Vista and Windows 7. Customers should apply this update to mitigate the threat in common scenarios, and evaluate deregistering the Indeo codec to remove access to the codec in any scenario.
Why is Microsoft not fixing specific vulnerabilities in this update?
The Indeo codec is an older codec that is known to have several security vulnerabilities. Instead of fixing specific vulnerabilities, Microsoft is creating defense-in-depth changes that reduce the attack surface all together for known vulnerabilities, and future similar vulnerabilities.
Nou lekker dan. Dat het niet om een obscuur nauwelijks vindbaar probleem gaat blijkt uit het aantal (6) mensen die Microsoft bedankt voor het melden van kwetsbaarheden in de Indeo Codec. POC exploits zijn ondertussen beschikbaar (zie bijv. http://www.vupen.com/exploits/Microsoft_Windows_Indeo_IV32_Codec_Memory_Corruption_PoC_KB954157_3440271.php).
This update is not associated with a security bulletin because it does not remediate specific vulnerabilities, but instead provides additional defense-in-depth mitigations to bring older operating systems closer to the same level of security protection as Windows Vista and Windows 7. Customers should apply this update to mitigate the threat in common scenarios, and evaluate deregistering the Indeo codec to remove access to the codec in any scenario.
Why is Microsoft not fixing specific vulnerabilities in this update?
The Indeo codec is an older codec that is known to have several security vulnerabilities. Instead of fixing specific vulnerabilities, Microsoft is creating defense-in-depth changes that reduce the attack surface all together for known vulnerabilities, and future similar vulnerabilities.
Hebben anderen ook gezien dat deze KB955759 oftewel KB954157 "update" (of wat het dan ook is) niet automatisch is geïnstalleerd op PC's waarop automatic updates aanstaat? Hoe zit het met andere operating systems dan XP-SP3?
Laatst gewijzigd:
21-12-2009,
11:17
