Microsoft XML Core Services update problemen mogelijk nog steeds niet opgelost

Anoniem

Aan Microsoft Nederland,

betreffend een probleem met de update van Microsoft XML Core Services.

Juli 2012 bestond er een probleem met de update van Microsoft XML Core Services.

Dat probleem werd toentertijd door meerdere Windows-gebruikers gesignaleerd.

Ik heb dat betreffende probleem op 14 juli 2012 onder de aandacht geprobeerd te brengen van Microsoft, via de toentertijd bestaande contact-optie voor Windows Update support via Microsoft Support.

Op het door mij op 14 juli 2012 geposte bericht heb ik echter nooit respons ontvangen. Bij navraag werd gesteld dat er wel degelijk e-mails verzonden waren door Microsoft, maar die heb ik nooit ontvangen, en de vervolg-toezegging dat ik dan gebeld zou worden die is niet nagekomen. Zonder feedback hoopte ik dan maar dat Microsoft het gemelde probleem toch wel degelijk opgepakt en opgelost had.

Vandaag las ik echter iets dat me doet vrezen dat het juli 2012 gemelde probleem mogelijk niet is opgelost.

Dat betreft dit artikel op Security.nl,

"Top 10 van minst gepatchte programma's in Nederland"

https://www.security.nl/artikel/46519/1/Top_10_van_minst_gepatchte_programma%27s_in_Nederland.html

en daarin deze passage:

"Secunia maakte een overzicht van de 10 kwetsbaarste programma's, gebaseerd op marktaandeel en het percentage dat ongepatcht was. Dan blijkt dat Microsoft XML Core Services (MSXML) bovenaan staat. Deze software is bij 75% van de gebruikers geïnstalleerd, maar in 45% van de gevallen ongepatcht."

De bron daarvan is deze Secunia rapportage:

http://secunia.com/?action=fetch&filename=PSI-Country-Report-(NL)-(2013Q1).pdf

Voor andere landen dan Nederland, via:

http://secunia.com/resources/countryreports/

Ik heb in de reacties bij het artikel op Security.nl gereageerd als Spiff, op woensdag 5 juni 2013, 16:12 uur.

https://www.security.nl/artikel/46519/1/Top_10_van_minst_gepatchte_programma%27s_in_Nederland.html

Vervolgens heb ik geprobeerd de materie telefonisch onder aandacht van Microsoft te brengen.

Het lastige is echter dat voor dergelijke meldingen geen telefonische afdeling bestaat, althans niet bij Microsoft Nederland.

Een vriendelijke medewerker van een ándere Microsoft afdeling heeft mijn melding aangenomen (met verwijzing naar mijn Security.nl post van 16:12 uur) en gaf aan dat hij de melding zou doorzetten naar een afdeling die de betreffende melding zou kunnen behandelen. De medewerker kon me echter niet garanderen dat dat zou lukken. Er is me daarom aangeraden tevens te melden via Microsoft Community.

De contact-optie voor Windows Update support via Microsoft Support die ik juli 2012 nog benut had, die bestaat inmiddels niet meer, ontdekte ik eerder vandaag.

Daarom nu hieronder het bericht dat ik eerder op 14 juli 2012 gemeld had via de contact-optie voor Windows Update support via Microsoft Support,

met het verzoek aan Microsoft om na te gaan of dat probleem van juli 2012 met de update van Microsoft XML core Services inmiddels al is opgelost, of mogelijk nog niet.

De bevindingen in de eerder genoemde Secunia rapportage doen vrezen dat het eerder gemelde probleem met de update van Microsoft XML Core Services mogelijk nog niet is opgelost.

Tevens verwijs ik ook nogmaals naar de reactie van Spiff, bij het eerder genoemde artikel op Security.nl.

Volledig bericht van 14 juli 2012:

Incident titel:

Problemen met de updates voor Microsoft XML Core Services 4.0 gesignaleerd.

Bericht-datum:

zaterdag 14 juli 2012

Geachte Microsoft Nederland,

Er zijn problemen met de updates voor Microsoft XML Core Services 4.0 gesignaleerd.

Ik zie diverse meldingen van Windows systemen waarop MSXML 4.0 SP2 niet automatisch is geupdate naar MSXML 4.0 SP3,

waardoor de recente KB2721691 update niet wordt aangeboden voor Microsoft XML Core Services 4.0.

Pas na het installeren van MSXML 4.0 SP3 via

**http://www.microsoft.com/en-us/download/details.aspx?id=15697**

wordt KB2721691 alsnog aangeboden via Windows Update.

Daarnaast trof ik zelf een Windows 7 Home Premium SP1 x64 systeem aan waar het bestand msxml4.dll niet te vinden was,

onder C:\Windows\System32 werden alleen msxml3.dll en msxml6.dll aangetroffen,

maar tot mijn grote verbazing vond ik vervolgens wel een vermelding van MSXML 4.0 SP2 onder Configuratiescherm\Programma's\Programma's en onderdelen.

Zekerheidshalve heb ik op dat Windows 7 Home Premium SP1 x64 systeem MSXML 4.0 SP3 dan toch maar geïnstalleerd

http://www.microsoft.com/en-us/download/details.aspx?id=15697

en vervolgens Windows Update uitgevoerd en de nu alsnog aangeboden KB2721691 geïnstalleerd.

Zie ook deze thread op Security.nl:

http://www.security.nl/artikel/42204/1/Patch_XML_core_services_is_uit%21.html

Ik moet eerlijk zeggen dat ik het gezien het bovenstaande erg rommelig vind betreffende MSXML 4.0.

MSXML 4.0 SP2 wordt - in ieder geval in sommige gevallen - niet geupdate naar SP3 en ontbeert daardoor patch KB2721691,

en msxml4.dll blijkt in het geval dat ik beschreef onvindbaar als bestand, maar bleek wél aanwezig in Programma's en onderdelen!

De gebruikers die zo gelukkig zijn de bovengenoemde problemen te signaleren, die kunnen dat corrigeren en naast update KB2719985 vervolgens tevens update KB2721691 installeren om de vulnerability in Microsoft XML Core Services volledig te patchen, maar wie niet zo gelukkig is die blijft achter met een ongepatchte MSXML 4.0.

Wat is de reden dat het zo'n rommeltje is met die MSXML 4.0?

Is Microsoft voornemens om een en ander te corrigeren?

Heel graag uw reactie.

Met vriendelijke groeten,

[...]

Einde van bericht van 14 juli 2012.

[Edit: Enkele passages aangepast naar weergave in vet/bold.]

Vergrendelde vraag. Deze vraag is gemigreerd vanuit de Microsoft Ondersteuning-community. U kunt met een stem aangeven of de inhoud nuttig is, maar u kunt geen opmerkingen of antwoorden toevoegen of de vraag volgen.

0 opmerkingen

30 antwoorden

Anoniem

2013-07-16T15:15:08+00:00

Als aanvulling op mijn bericht van 11 juli,

waarin ik schreef,

"Inmiddels heb ik een stuk geplaatst in Engels en in Nederlands op Security.nl:

https://www.security.nl/artikel/46991/1/MS_ignores_XML_update_issue.html

Binnenkort, morgen en de komende dagen, zal ik (op) andere sites naar die informatie verwijzen, om die informatie zo breed mogelijk onder de aandacht te brengen."

Sindsdien heb ik om de aandacht voor de zaak uit te breiden verwijzingen naar dat stuk geplaatst op Reddit en op de Full Disclosure Mailing List, en tevens enkele websites getipt.

Op Reddit staat mijn verwijzing hier

http://www.reddit.com/r/netsec/

subject: Microsoft ignores serious MSXML update issue

en op de Full Disclosure Mailing List dit bericht:

http://lists.grok.org.uk/pipermail/full-disclosure/2013-July/091027.html

of via: http://seclists.org/fulldisclosure/2013/Jul/156

Daar houdt het echter wel op met wat ik kon doen om deze materie onder de aandacht te proberen te brengen.

Daarom nogmaals,

tot zover mijn bijdrage in deze thread op Microsoft Community,

en nogmaals iedereen hartelijk bedankt voor de inzet.

Met vriendelijke groeten
Was dit antwoord nuttig?

0 opmerkingen Geen opmerkingen
Anoniem

2013-07-10T22:30:25+00:00

Inmiddels is mijn correspondentie met Microsoft Security Response Center afgerond.

De reactie van MSRS was als volgt.

Op 8 juli 2013 antwoordde Microsoft Security Response Center:

"MSXML4 SP3 is not a direct update of MSXML4 SP2, but a replacement, similar in that IE10 replaces IE9, or .Net 4.0 replaces .Net 2.0.

MSXML4 SP2 is not automatically 'upgraded' to SP3 because this would cause unexpected results on the updated machine."

en

"MSXML 4.0 SP2 has not been supported for over multiple years now and as a policy we don't produce updates for unsupported software."

En op 9 juli:

"This is not a scenario where a direct service pack was not offered. MSXML 4 SP3 is completely different than SP2 and so it could NOT be offered the way we offer service packs on Windows or Office. Additionally, no update would be offered for the unsupported MSXML 4 SP2 software years after it end of life. Additionally, the end of support for MSXML SP2 was extensively messaged, seehttp://blogs.msdn.com/b/xmlteam/archive/2010/03/30/msxml4-0-sp2-is-going-out-of-support-in-april-2010.aspx ."

en

"This has been sufficiently messaged over the years and [we?] are comfortable with the steps taken to upgrade users from the deprecated MSXML 4SP2."

Kortom:

Microsoft zal geen actie ondernemen om het door mij weergegeven probleem op te lossen.

Zoals hier op 3 juli al aangegeven, en ook in mijn correspondentie met MSRS aangegeven,

nu duidelijk is dat Microsoft geen actie zal ondernemen om het door mij weergegeven probleem op te lossen, zie ik me genoodzaakt de betreffende informatie uitgebreid op het web te publiceren, zodat hopelijk zo veel mogelijk gebruikers geïnformeerd kunnen worden en deze zelf actie kunnen ondernemen.

Inmiddels heb ik een stuk geplaatst in Engels en in Nederlands op Security.nl:

https://www.security.nl/artikel/46991/1/MS_ignores_XML_update_issue.html

Binnenkort, morgen en de komende dagen, zal ik (op) andere sites naar die informatie verwijzen, om die informatie zo breed mogelijk onder de aandacht te brengen.

Tot zover mijn bijdrage in deze thread op Microsoft Community.

Met vriendelijke groet
Was dit antwoord nuttig?

0 opmerkingen Geen opmerkingen
Anoniem

2013-07-06T10:11:21+00:00

Donderdagavond heeft Microsoft Security Response Center aangegeven dat de door mij aan MSRS toegestuurde rapportage onder beoordeling was. Sindsdien heb ik nog geen verdere reactie ontvangen.

Zodra ik een volgende reactie ontvang van MSRS die hopelijk duidelijkheid geeft over wat het vervolg wordt, dan zal ik dat hier berichten.

Met vriendelijke groet
Was dit antwoord nuttig?

0 opmerkingen Geen opmerkingen
Anoniem

2013-07-03T20:10:53+00:00

Zoals ik gisteren aangaf, ik heb tot vandaag, woensdag 3 juli 2013, 19.00 uur Nederlandse tijd, afgewacht of nog een reactie zou volgen op mijn posts van 28 en 29 juni en 2 juli.

Gezien het feit dat er geen reactie is gevolgd, concludeer ik dat deze zaak uit het oog verloren is of genegeerd wordt.

Ik heb daarom de materie ter beoordeling voorgelegd aan Microsoft Security Response Center.

Pakt MSRC de zaak op dan is dat mooi.

Geeft MSRC onverhoopt aan de zaak niet te gaan oppakken, dan zal ik de betreffende informatie aanbieden aan de security-gemeenschap, door middel van een uitgebreide post in Engels en Nederlands op Security.nl, en attendering daarop van andere sites.

Tot zover voor nu deze thread op Microsoft Community.

Wordt deze thread nog niet afgesloten, dan zal ik binnenkort nog feedback geven over de reactie van MSRC, en indien dat nodig zou blijken verwijzen naar de URL van mijn post op Security.nl.

Mogelijk dus nog "wordt vervolgd"

en anders in ieder geval iedereen hartelijk dank voor de inzet.

Met vriendelijke groet
Was dit antwoord nuttig?

0 opmerkingen Geen opmerkingen
Anoniem

2013-07-02T14:13:39+00:00

P.S.

Het viel me zonet op dat de reactie van 26 juni met de feedback van Microsoft als "Antwoord" was gemarkeerd, waarmee deze thread als "Beantwoord" was gemarkeerd.

Die markering was echter niet door mij aangebracht.

Ik heb die markering als "Antwoord" ongedaan gemaakt.

De feedback door Microsoft is immers een onvolledig antwoord. Het gaat volkomen voorbij aan de essentie van de zaak, waarop ik in mijn reacties van 26 en 28 juni nog eens nadrukkelijk heb gewezen.

Ik wacht daarom nog steeds op een vervolg van de zaak,

óf op een melding dat forumbeheer ondanks mijn reacties van 26 en 28 juni van mening is dat deze zaak is afgerond met de feedback van Microsoft zoals die hier 26 juni is geplaatst en dat geen verdere actie meer volgt richting Microsoft via forumbeheer als mediair.

Zoals ik eerder vandaag al aangaf,

ik wacht nog af tot morgenavond, woensdag 3 juli 2013, 19.00 uur Nederlandse tijd.

Heb ik hier dan nog steeds geen opheldering ontvangen, dan zal ik andere actie moeten ontplooien om de materie onder de aandacht te brengen.

Hartelijk dank

en met vriendelijke groet
Was dit antwoord nuttig?

0 opmerkingen Geen opmerkingen