Toch vervroegde Windows-patch voor WMF-lek

Microsoft zwicht onder druk

06 januari 2006 | Remco Mourits Microsoft lijkt gezwicht onder alle ophef over het WMF-lek in Windows. Het bedrijf heeft de patch, die gepland was voor dinsdag, alsnog vervroegd uitgebracht. Toch blijft Windows 2000 kwetsbaar.

Enige dagen geleden maakte Microsoft nog bekend dat het de patch pas op 10 januari zou uitbrengen als onderdeel van de reguliere, maandelijkse patchdag. De patch voor het lek in WMF was wel klaar, maar moest nog uitgebreid worden getest. Mede daarom zag Microsoft geen heil in een vervroegde release.

Dit tot ongeloof en onbegrip bij de meeste beveiligingsexperts, die erop wezen dat er al vele trojans zijn verschenen die gebruik maken van het lek en dat een reparatie dus geen dag op zich zou mogen laten wachten.

De druk op Microsoft om met een oplossing te komen werd steeds groter. Inmiddels had beveiligingsexpert Ilfak Guilfanov zelf een patch gemaakt, die - hoogst ongebruikelijk voor een inofficiële patch - door gerenommeerde beveiligingsorganisaties als de SANS en andere experts werd geadviseerd.

Zelf zegt Microsoft het testen van de patch eerder te hebben afgerond dan verwacht, en daarom alsnog met een vervroegde release te komen. Het bedrijf erkent op zijn website echter ook dat "de sterke wens van consumenten om de patch zo snel mogelijk te hebben" een rol heeft gespeeld.

Wie Automatic Update heeft ingeschakeld in Windows XP, krijgt de patch automatisch binnen. Hij is ook op de website van Microsoft te vinden onder Security bulletin MS06-001.

Alle commotie betreft een fout in Windows Meta File (WMF), waarmee bepaalde afbeeldingen worden geopend. De fout zorgt ervoor dat ook kwaadaardige software - die zich vermomt als Meta File afbeelding - wordt geopend.

Op diverse websites zijn trojans te vinden die hierdoor automatisch worden gestart wanneer iemand die sites bezoekt onder Windows. Via zo'n trojan kan een hacker in principe de controle over de hele pc in handen krijgen.