Microsoft maakt opnieuw drie veiligheidslekken bekend

Lek in virtueel netwerkprotocol

31 oktober 2002 | Jamie Biesemans Gewoontegetrouw maakt Microsoft nieuwe lekken wereldkundig via een Security Bulletin. Woensdagnacht maakte het bedrijf wederom drie lekken bekend. Eén daarvan heeft betrekking op een kwetsbaarheid in een virtueel netwerkprotocol (Point-to-Point Tunneling Protocol of PPTP). Dit onderdeel van de Remote Access Services (RAS) staat standaard aan in Windows 2000 en XP, en is een optioneel component in Windows 98, SE, Millennium en NT. Door de verschillen in de implementatie van het protocol lopen vooral installaties van Windows 2000 op servers gevaar.

PPTP dient bijvoorbeeld om externe gebruikers een beveiligd kanaal te bieden om in te loggen op een server op een bedrijfsnetwerk. Het is een VPN-technologie; dat wil zeggen dat er een virtueel, beveiligd netwerk bovenop een 'echt' netwerk (zoals het internet) wordt gelegd. Op deze manier kunnen gegevens veilig uitgewisseld worden.

De patch voor het lek wordt door Microsoft als "essentieel" beschouwd. Dat komt omdat door het lek in het PPTP een hacker een server kan laten crashen. Blijft hij dat continu doen, voert hij eigenlijk een DoS-aanval uit waardoor het onmogelijk wordt om nog iets te doen met de getroffen machine. De enige oplossing is dan de computer van het netwerk te halen of een ander ip-adres aan te vragen. Er is een patch beschikbaar, die je hier downloaden.

Microsoft gelooft niet dat deze kwetsbaarheid door kwaadwillenden gebruikt zal worden om zichzelf toegang te verschaffen tot een computer. Dat is wel het geval met een ander probleem dat Microsoft in Windows 2000 ontdekte. Veel gevaar houdt het echter niet in: de kwetsbaarheid ontstaat door de standaardinstelling van de Everyone-gebruikersgroep en heeft eigenlijk alleen gevolgen voor systemen die door meerdere personen gebruikt worden. Zelfs dan moet een hacker veel toeren uithalen om toegang te krijgen tot bestanden van andere gebruikers.

Microsoft hecht niet echt veel belang aan het probleem. Toch kan het geen kwaad om het probleem aan te pakken, zeker als er met meerdere gebruikers op dezelfde Windows 2000-machine wordt gewerkt. Een patch is niet nodig, de rechten van gebruikers moeten worden aangepast. Lees meer artikels over : windows 2000, pptp, ras

bron: ZDNet