Zwakke plek ontdekt in Virtual PC

'Microsoft bagatelliseert probleem'

18 maart 2010 | Jan Custers

Een zwakke plek in Microsofts Virtual PC kan gebruikers van deze virtualisatiesofware kwetsbaar maken voor een aanval. Dat meldt Core Security Technologies.

Een medewerker van Core Security ontdekte een zwakke plek in de hypervisor van Virtual PC. Die hypervisor is een minibesturingssysteem dat zich rechtstreeks op de hardware installeert en verschillende Windowsbesturingssystemen naast elkaar laat opereren.

Data Execution Prevention
“De zwakke plek kan het een hacker makkelijker maken om onder meer de Data Execution Prevention (DEP) en Address Space Layout Randomization (ASLR) te omzeilen. Dat zijn beveiligingssystemen waarvan Microsoft gebruikmaakt in zijn besturingssystemen. Bijgevolg kunnen zwakke plekken die nog niet zijn uitgebuit in een virtueel systeem nog kwetsbaarder worden”, meent Ivan Arce van Core Security.

Het probleem, dat zich voordoet in Microsoft Virtual PC 2007, Windows Virtual PC en Virtual Server 2005, werd in augustus 2009 aan de ontwikkelaar gemeld. Maar er is nog steeds geen patch voor uitgebracht. Microsoft zegt het aan te pakken in een toekomstig servicepack.

“Dit zou zo snel mogelijk moeten opgelost worden met een patch, in plaats van het uit te stellen tot het volgende servicepack klaar is”, vindt de medewerker van Core Security. Maar Microsoft lijkt geen haast te maken en het probleem te bagatelliseren.

Reactie Microsoft
“Een hacker kan de controle over een hostcomputer waarop meerder virtuele machines draaien niet overnemen”, reageert de softwaregigant in een verklaring. “De beveiligingssystemen binnen Windows (DEP, ASLR en SafeSEH) blijven immers functioneren.”

“Daarbij komt dat er al andere kwetsbaarheden in programma’s op de virtuele machine aanwezig moeten zijn, wil de hacker zijn voordeel hiermee halen. Op een echt Windowssysteem is er geen sprake van een zwakke plek, op een virtuele machine enkel onder bepaalde omstandigheden.”

Lees meer artikels over : software, microsoft, virtualpc

bron: ZDNet