Microsoft XML Core Services update problemen mogelijk nog steeds niet opgelost

Aan Microsoft Nederland,

betreffend een probleem met de update van Microsoft XML Core Services.

Juli 2012 bestond er een probleem met de update van Microsoft XML Core Services.

Dat probleem werd toentertijd door meerdere Windows-gebruikers gesignaleerd.

Ik heb dat betreffende probleem op 14 juli 2012 onder de aandacht geprobeerd te brengen van Microsoft, via de toentertijd bestaande contact-optie voor Windows Update support via Microsoft Support.

Op het door mij op 14 juli 2012 geposte bericht heb ik echter nooit respons ontvangen. Bij navraag werd gesteld dat er wel degelijk e-mails verzonden waren door Microsoft, maar die heb ik nooit ontvangen, en de vervolg-toezegging dat ik dan gebeld zou worden die is niet nagekomen. Zonder feedback hoopte ik dan maar dat Microsoft het gemelde probleem toch wel degelijk opgepakt en opgelost had.

Vandaag las ik echter iets dat me doet vrezen dat het juli 2012 gemelde probleem mogelijk niet is opgelost.

Dat betreft dit artikel op Security.nl,

"Top 10 van minst gepatchte programma's in Nederland"

https://www.security.nl/artikel/46519/1/Top_10_van_minst_gepatchte_programma%27s_in_Nederland.html

en daarin deze passage:

"Secunia maakte een overzicht van de 10 kwetsbaarste programma's, gebaseerd op marktaandeel en het percentage dat ongepatcht was. Dan blijkt dat Microsoft XML Core Services (MSXML) bovenaan staat. Deze software is bij 75% van de gebruikers geïnstalleerd, maar in 45% van de gevallen ongepatcht."

De bron daarvan is deze Secunia rapportage:

http://secunia.com/?action=fetch&filename=PSI-Country-Report-(NL)-(2013Q1).pdf

Voor andere landen dan Nederland, via:

http://secunia.com/resources/countryreports/

Ik heb in de reacties bij het artikel op Security.nl gereageerd als Spiff, op woensdag 5 juni 2013, 16:12 uur.

https://www.security.nl/artikel/46519/1/Top_10_van_minst_gepatchte_programma%27s_in_Nederland.html

Vervolgens heb ik geprobeerd de materie telefonisch onder aandacht van Microsoft te brengen.

Het lastige is echter dat voor dergelijke meldingen geen telefonische afdeling bestaat, althans niet bij Microsoft Nederland.

Een vriendelijke medewerker van een ándere Microsoft afdeling heeft mijn melding aangenomen (met verwijzing naar mijn Security.nl post van 16:12 uur) en gaf aan dat hij de melding zou doorzetten naar een afdeling die de betreffende melding zou kunnen behandelen. De medewerker kon me echter niet garanderen dat dat zou lukken. Er is me daarom aangeraden tevens te melden via Microsoft Community.

De contact-optie voor Windows Update support via Microsoft Support die ik juli 2012 nog benut had, die bestaat inmiddels niet meer, ontdekte ik eerder vandaag.

Daarom nu hieronder het bericht dat ik eerder op 14 juli 2012 gemeld had via de contact-optie voor Windows Update support via Microsoft Support,

met het verzoek aan Microsoft om na te gaan of dat probleem van juli 2012 met de update van Microsoft XML core Services inmiddels al is opgelost, of mogelijk nog niet.

De bevindingen in de eerder genoemde Secunia rapportage doen vrezen dat het eerder gemelde probleem met de update van Microsoft XML Core Services mogelijk nog niet is opgelost.

Tevens verwijs ik ook nogmaals naar de reactie van Spiff, bij het eerder genoemde artikel op Security.nl.

Volledig bericht van 14 juli 2012:

Incident titel:

Problemen met de updates voor Microsoft XML Core Services 4.0 gesignaleerd.

Bericht-datum:

zaterdag 14 juli 2012

Geachte Microsoft Nederland,

Er zijn problemen met de updates voor Microsoft XML Core Services 4.0 gesignaleerd.

Ik zie diverse meldingen van Windows systemen waarop MSXML 4.0 SP2 niet automatisch is geupdate naar MSXML 4.0 SP3,

waardoor de recente KB2721691 update niet wordt aangeboden voor Microsoft XML Core Services 4.0.

Pas na het installeren van MSXML 4.0 SP3 via

**http://www.microsoft.com/en-us/download/details.aspx?id=15697**

wordt KB2721691 alsnog aangeboden via Windows Update.

Daarnaast trof ik zelf een Windows 7 Home Premium SP1 x64 systeem aan waar het bestand msxml4.dll niet te vinden was,

onder C:\Windows\System32 werden alleen msxml3.dll en msxml6.dll aangetroffen,

maar tot mijn grote verbazing vond ik vervolgens wel een vermelding van MSXML 4.0 SP2 onder Configuratiescherm\Programma's\Programma's en onderdelen.

Zekerheidshalve heb ik op dat Windows 7 Home Premium SP1 x64 systeem MSXML 4.0 SP3 dan toch maar geïnstalleerd

http://www.microsoft.com/en-us/download/details.aspx?id=15697

en vervolgens Windows Update uitgevoerd en de nu alsnog aangeboden KB2721691 geïnstalleerd.

Zie ook deze thread op Security.nl:

http://www.security.nl/artikel/42204/1/Patch_XML_core_services_is_uit%21.html

Ik moet eerlijk zeggen dat ik het gezien het bovenstaande erg rommelig vind betreffende MSXML 4.0.

MSXML 4.0 SP2 wordt - in ieder geval in sommige gevallen - niet geupdate naar SP3 en ontbeert daardoor patch KB2721691,

en msxml4.dll blijkt in het geval dat ik beschreef onvindbaar als bestand, maar bleek wél aanwezig in Programma's en onderdelen!

De gebruikers die zo gelukkig zijn de bovengenoemde problemen te signaleren, die kunnen dat corrigeren en naast update KB2719985 vervolgens tevens update KB2721691 installeren om de vulnerability in Microsoft XML Core Services volledig te patchen, maar wie niet zo gelukkig is die blijft achter met een ongepatchte MSXML 4.0.

Wat is de reden dat het zo'n rommeltje is met die MSXML 4.0?

Is Microsoft voornemens om een en ander te corrigeren?

Heel graag uw reactie.

Met vriendelijke groeten,

[...]

Einde van bericht van 14 juli 2012.

[Edit: Enkele passages aangepast naar weergave in vet/bold.]