Microsoft: geen vervroegde patch voor WMF-lek

Softwarebedrijf wacht tot reguliere patchdag

04 januari 2006 | Remco Mourits Het aantal trojans dat het WMF-lek in Windows uitbuit, stijgt met de dag. Toch zal Microsoft pas dinsdag een patch vrijgeven. Dan, op 10 januari, is het namelijk weer tijd voor Microsofts reguliere, maandelijkse patchdag. Het bedrijf ziet geen reden om de WFM-patch eerder vrij te geven.

Microsoft geeft toe de patch al wel te hebben gemaakt. Hij wordt momenteel getest. De patch moet in 23 talen beschikbaar zijn; aan deze vertalingen wordt nog gewerkt.

Beveiligingsexperts vinden dit onacceptabel. Het lek is eenvoudig uit te buiten; een gebruiker kan al besmet raken met een trojan door simpelweg een kwaadwillende website te bezoeken. "Het lek wordt nu al actief misbruikt", zegt Johannes Ullricht van beveiligingsorganisatie SANS Institute. "Dit rechtvaardigt een vervroegd vrijgeven van een patch, zelfs als deze nog niet volledig is getest."

Volgens Microsoft valt het reuze mee met het gevaar. "Het is wel een serieuze zaak, en computers met dit lek worden inderdaad aangevallen. Onze bronnen geven echter aan dat er geen sprake is van een grootschalige aanval", zo verklaart het softwarebedrijf.

Terwijl Microsoft zijn patch nog test, kunnen gebruikers al wel terecht bij een onofficiële patch van Ilfak Guilfanov. Gisteren maakte het SANS Institute al bekend dat het deze patch in orde heeft bevonden; inmiddels heeft ook antivirusbedrijf F-Secure er zijn goedkeuring aan gegeven.

Microsoft zelf stelt zich terughoudend op. "Over het algemeen is het beter beveiligingsupdates te gebruiken die afkomstig zijn van de oorspronkelijke makers van de software", aldus het bedrijf. Lees meer artikels over : wmf, lek, trojan, patch

bron: ZDNet