[HWSW]

A tavaly októberben felfedezett TCP-sebezhetõségre a múlt héten adott ki biztonsági frissítést a Microsoft, azonban csak Windows Vistához és Windows Server 2008-hoz, a Windows Server 2000-et és a Windows XP-t egyáltalán nem is fogja javítani a cég.
http://www.hwsw.hu/h...ch-ms09-48.html' target='_blank'>http://www.hwsw.hu/h...ch-ms09-48.html

[sony88]

Hat ez olyan hogy inkabb nem foltozzak csak azert is mert mar nincs tamogatva a rendszer

Maodsorban az igaz hogy tuzfal sosem art es az XP tuzfalat is be lehet ugy allitani hogy meg az IE8! is

blokkolja ha szukseges csak tudni kell szorakozni a beallitasokkal illetve a csoporthazinredszerkesztovel

[dev567]

"a Windows XP-ben is megtalálható (a Windows 2000-bõl származó) hálózatkezelési kód több mint 12 éves és egyszerûen lehetetlen lenne megfelelõen kijavítani"

errõl van szó. ismerõs ez a helyzet. a túl hosszú evolúció oriási költségeket / további problémákat hozna. már ök sem birják ezt. egy idö után muszáj egyszerüen ujra kezdeni az egészet. jobban megéri minden szempontbol.

[bvalek2]

"a Windows XP-ben is megtalálható (a Windows 2000-bõl származó) hálózatkezelési kód több mint 12 éves és egyszerûen lehetetlen lenne megfelelõen kijavítani"

Ez a mondat hazugság. A C-nyelv szabványa nem változott, a cég fejlesztési irányelvei talán, de annak az update-ése rutinmunka, aztán lehet foltozni, még csak portolni sem kell, mert az eredeti környezetben marad a javított kód. Fejlesztõként dolgozom, és nálunk az ilyen mondatok két dolgot jelenthetnek. Lehet marketing bullshit, a tanácsadók ilyenekkel szédítik a hozzá nem értõ ügyfeleket. Ez a "jobbik" eset, mert ez csak a cég aljasságát jelzi (sz@rik az ügyfél fogyasztói jogaira).

Sajnos ennél valószínûbb, hogy az érintett kódnak már nincs karbantartója az MS-nél. Nyílt forrású projektekbõl az elárvult (karbantartó nélkül maradt) csomagok azonnal repülnek, mert biztonsági kockázatot jelentenek. Ezek szerint a Mikroszoftnál alacsonyabb színvonalú a fejlesztési policy mint bármelyik sufni Linux disztróban?

Sajnos azt kell hogy mondjam, hogy ez az eset nem egyedi. A managerek ragaszkodnak a katedrális modellhez, de nem hajlandóak megfizetni az árát. Õrzik a kódot mintha hadititok lenne, de mindenféle jöttment külsõs fejlesztõvel buheráltatják, meg válság ürügyén kirúgják a kulcsfontosságú karbantartókat a cégeknél. Aztán csodálkoznak, hogy 12 évig senki sem nézett rá a kódra, és a változtatni akarnak, valakinek le kell ülni megtanulni hogy mûködik (mert természetesen a dokumentálásra adott fejlesztési idõn is spórolnak).

Kapitalista piacgazdaságban ilyenkor az a normális, hogy az ügyfelek otthagyják az ilyen céget, ami vagy változtat, és kirúgja a hibázó managereket, vagy tönkremegy. Korporatív fasizmusban viszont a néhány nagy monopólium ráerõlteti mindenkire a termékét, és a managerek egy felsõ kasztot alkotnak, akiket nem fenyeget a felelõsségvállalás réme. Nálunk vajon piacgazdaság van, vagy korporatív fasizmus? (a kérdés költõi...)

[special]

@bvalek2: mielõtt megdöntjük a kormányokat és új világrendet vezetünk be, érdemes megjegyezni, hogy a Microsoftnak sem szokása ez, megfigyelõk szerint utoljára ilyen 6 évvel ezelõtt fordult elõ, hogy nem patchelés nélkül hagyott egy elismert biztonsági hibát.

[bvalek2]

@Bizó Dániel: Nekem inkább a patchelés elmaradásának az indoklása ütötte meg a "fülemet". Bár az, hogy elismerik-e a biztonsági hibákat, és néha meddig tart mire foltozzák õket, szintén megérne egy misét. És akkor az egyszerû hibákról meg fícsöröknek átkeresztelt bugokról még nem is szóltunk (mint a Vista esete a médialejátszással meg a hálózati forgalommal...).

A negatív véleményemet pedig Európa elsõszámú szoftvercégének a termékeivel eltöltött évek ihlették. De nem hiszek az összeesküvés-elméletekben. Ezeknek a cégeknek a vezetõit nem tartom szellemileg képesnek rájuk.

[Leni]

Lehet, hogy ezzel az egyszeru trukkel akarjak ravenni a vallalatokat, hogy vegre valtsanak XP-rol 7-re.

[Seregély]

Ahogy én tudom a Vista a Windows Server 2003 SP 1 kódbázisára épül, ami meg a Windows Server 2000 továbbfejlesztése. Bár a Windows forráskódja nem publikus, nem hiszem, hogy a hálózatkezelést teljesen átírták volna, inkább fejlesztettek/javítottak a kódon. Emiatt szinte kizártnak tartom, hogy ne lenne aki ismerné a XP/2000-t. Inkább arról lehet szó, hogy mivel az XP már nem prioritás (sõt inkább "lebeszélnek" róla) az MS-nál, nem tartják elég súlyosnak a problémát, hogy erõforrást áldozzanak rá.

[AzErdos[TM]]

figyelembe veve a Win2003-as patch-et: egyszeru gerincetelen huzas, hogy a nep hagyja ott az XP-t mert az nem biztonsagos...

Ez kulonosen ott bukik ki, hogy az XP64 az gyakorlatilag 1-az-1-ben a 64bites 2003-as kod, es az egyikhez van patch masikhoz nincs... nesze neked support 2014-ig. Egy olyan oprendszerre amit ma is arulnak (tudom XP32 Home != XP64 Pro, de a kod annyira kozel van, hogy biztos vagyok az atemelhetosegben)

+ha a Win7 XP modja is erintett...

Remelem elegge nagy visszhangja lesz a dolognak, hogy esetleg valaki olyan is elgondolkodjon a probleman, aki penzosszegben is kifejezheti MS fele a rosszallasat. x * 10^7-en EUR/USD kezdoosszeggel...

szoval MS egyertelmu uzenete: vasarolj Win7-et. Csak ezt nehezen fogjak benyelni az emberek.

[didyman]

Idézet: flashdesigner - Dátum: 2009. szept. 16., szerda - 2:46

@AzErdos[TM]: Amint a Windows XP telepítésénél is olvashattuk anno, hogy milyen szuperbiztonságos, és kb. alsóhangon legalább 200 kritikus sebezhetõséget javítottak ki azóta, aminek megkockáztatom, hogy legalább a felét a saját fejlesztõgárda rakott bele trójai hátsóajtóként ...<br />
<br />
Feltéve az í-re a pontot, hogy az utolsó ilyen "hibákat" mindig akkorra idõzítik, mikor már megjelenõben van az új winfos...<br />
<br />
Mi a garancia, hogy a Win 7 akármennyivel is biztonságosabb lessz, hogyha a zárt forráskód színfalai között ellenõrizni nem lehet, viszont a hazugságokkal már egyszer bebuktak?

Trójai hátsóajtó, persze .
Olyan dolog ez, hogy ami híressé, elterjedté válik, abban valahogy mindig több sebezhetõséget fognak felfedezni. Az XP valóban biztonságos, egyrészt érteni kell hozzá és nem csak teletömni az aktuális víruskergetõkkel és naprakészen tartani, erre való a frissítés. Nincsen tökéletes rendszer, mindben lehet sebezhetõséget találni, pláne, ha elterjedté válik.

A zárt forráskódról annyit, ha te üzleti modellben gondolkozol egy terméked kapcsán, gondolom széles vigyorral az arcodon adsz ki arról bármilyen háttérinformációt. Ez nem így mûködik

Ettõl még ez az indoklás a kód javítását illetõen eléggé marketingbullshit szagú.

[Jahno]

Idézet: flashdesigner - Dátum: 2009. szept. 16., szerda - 2:46

aminek megkockáztatom, hogy legalább a felét a saját fejlesztõgárda rakott bele trójai hátsóajtóként ..

Én megkockáztattom, hogy hülye kis pöcs vagy.

[Warrior]

Idézet: didyman - Dátum: 2009. szept. 16., szerda - 7:03

...
Ettõl még ez az indoklás a kód javítását illetõen eléggé marketingbullshit szagú.

Erre gondoltam én is. Késõbb bármire ráfogható, hogy "javítása nem gazdaságos". User úgysem fogja megérteni.

[Modeller]

no comment..
http://kbase.redhat..../docs/DOC-18730

"Due to upstream's decision not to release updates, Red Hat do not plan to release updates to resolve these issues; however, the effects of these attacks can be reduced."

Szerkesztette: Modeller 2009. 09. 16. 13:13 -kor

[Szabcsi]

Idézet: Modeller - Dátum: 2009. szept. 16., szerda - 14:12

no comment..
http://kbase.redhat..../docs/DOC-18730

"Due to upstream's decision not to release updates, Red Hat do not plan to release updates to resolve these issues; however, the effects of these attacks can be reduced."

Ja, de hát nekik van arcuk azt mondani hogy kapjátok be, nem javítjuk ki, és nem lehetetlen küldetésként beállítani a foltozást...  :Ð

[special]

@Modeller: na igen, ezt egyébként megírtuk az eredeti tcp javítások kapcsán, hoyg a red hat semmilyen verziót nem javít.

[Warrior]

Idézet: special - Dátum: 2009. szept. 16., szerda - 14:24

@Modeller: na igen, ezt egyébként megírtuk az eredeti tcp javítások kapcsán, hoyg a red hat semmilyen verziót nem javít.

ez elég érdekes dolog, ha idevesszük, hogy linux.

[hkpk]

Idézet: dev567 - Dátum: 2009. szept. 15., kedd - 10:45

"a Windows XP-ben is megtalálható (a Windows 2000-bõl származó) hálózatkezelési kód több mint 12 éves és egyszerûen lehetetlen lenne megfelelõen kijavítani"<br />
<br />
errõl van szó. ismerõs ez a helyzet. a túl hosszú evolúció oriási költségeket / további problémákat hozna. már ök sem birják ezt. egy idö után muszáj egyszerüen ujra kezdeni az egészet. jobban megéri minden szempontbol.

Én elolvastam az M$ közleményét, abban szó nincs arról, hogy a kora miatt nem nyúlnak hozzá.
Ráadásul teljesen eltérõen indokolják a W2K esetében a kifogást, és XP esetében a szükségtelenséget.
WK2-ban egyszerûen nincs jelen az az architektúra, amit ki lehetne javítani.
XP-ben az alapbeállítások (SP2/SP3 szükségtelenné teszik a javítást)
Ugyanez lenne a helyzet, ha 6 hónapja adták volna ki az XP-t...

[hkpk]

Idézet

If Microsoft Windows 2000 Service Pack 4 is listed as an affected product, why is Microsoft not issuing an update for it?
The architecture to properly support TCP/IP protection does not exist on Microsoft Windows 2000 systems, making it infeasible to build the fix for Microsoft Windows 2000 Service Pack 4 to eliminate the vulnerability. To do so would require rearchitecting a very significant amount of the Microsoft Windows 2000 Service Pack 4 operating system, not just the affected component. The product of such a rearchitecture effort would be sufficiently incompatible with Microsoft Windows 2000 Service Pack 4 that there would be no assurance that applications designed to run on Microsoft Windows 2000 Service Pack 4 would continue to operate on the updated system. The impact of a denial of service attack is that a system would become unresponsive due to memory consumption. However, a successful attack requires a sustained flood of specially crafted TCP packets, and the system will recover once the flood ceases. Microsoft recommends that customers running Microsoft Windows 2000 Service Pack 4 use a firewall to block access to the affected ports and limit the attack surface from untrusted networks.

If Windows XP is listed as an affected product, why is Microsoft not issuing an update for it?
By default, Windows XP Service Pack 2, Windows XP Service Pack 3, and Windows XP Professional x64 Edition Service Pack 2 do not have a listening service configured in the client firewall and are therefore not affected by this vulnerability. Windows XP Service Pack 2 and later operating systems include a stateful host firewall that provides protection for computers against incoming traffic from the Internet or from neighboring network devices on a private network. The impact of a denial of service attack is that a system would become unresponsive due to memory consumption. However, a successful attack requires a sustained flood of specially crafted TCP packets, and the system will recover once the flood ceases. This makes the severity rating Low for Windows XP. Windows XP is not affected by CVE-2009-1925. Customers running Windows XP are at reduced risk, and Microsoft recommends they use the firewall included with the operating system, or a network firewall, to block access to the affected ports and limit the attack surface from untrusted networks.

Lehet, én vagyok perverz, de nekem korrekt magyarázatnak tûnik, fõleg az XP-re adott.
1 dolog, hogy SP1/SP0 XP itt elvérezhet, meg W2K, ha ezeket tûzfal nélkül használják, de manapság ebben az esetben már nem csak ez a bug tenné hasonló módon használhatatlanná a gépet, lásd pl. szüntelenül áramló UDP üzenetek azon gépeknél, amiket kiszúrnak a szórakozók...

XP esetében erre a javítást már nagyon régen kiadták: úgy hívják SP2. Benne van a tûzfal, meg TCP Stack korlátozás is.
Ez a biztonsági rés DoS támadást tesz lehetõvé. Melyik tûzfal nincs ennek kivédésére felkészítve?

Teljesen más kérdés a szerver rendszerek esete. Amíg a kliensnek csak olyan csomagokat kell fogadni, csak azokra kell reagálni, amire elõzõleg kérés ment ki, a szervertõl ugyanez nem várható el, annak az a dolga, hogy a bejövõ kéréseket fogadja. Na emiatt azoknál kényszerû a javítás.
Hogy Vista-hoz miért adott ki mégis javítást az M$, na, inkább ez az érdekes, ezen kellene csámcsogni...nem?.

[Signal]

Idézet: flashdesigner - Dátum: 2009. szept. 16., szerda - 1:46

...bla ...bla

Nézd, én egyik témánál megjegyeztem a neved (nem volt nehéz), amikor olyasmit írtál, hogy szerinted minden weboldalnak flash-alapúnak kellene lenni, mer' az jó. Utána még lehülyéztek páran.

Késõbb másik témában ismét látom: flasdesigner. Ismét árad a hülyeség.

Most ide tévedek...

Jó arc vagy öreg, csak így tovább...