Interview
Intel lovede alvorligt sikkerhedshul var lukket, men det står stadig pivåbent: »Det er mildest talt meget ærgerligt«
Illustration: Improsec.
Intel har enten misforstået adskillige advarsler om fejlen, eller også har selskabet slet og ret ikke formået at rette den trods adskillige opdateringer, lyder det fra danske eksperter.
3. september 2020 kl. 03:45
Ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.
Efter at Version2 i sidste uge kunne fortælle om en alvorlig sårbarhed hos Intel, der lader angribere eksekvere hvad som helst, har Intel lovet bod og bedring.
I en mail til version2 skriver it-giganten, at sårbarheden i selskabets opdateringssoftware, Intel Driver and Support Assistant (DSA), er lukket. Og at det altså ikke længere er muligt for hackere at eskalere deres rettigheder på en Windows-enhed med ganske få kommandoer.
Problemet er bare, at det ikke er tilfældet. Improsec, der også oprindeligt fandt sikkerhedshullet, har efterprøvet Intels påstand om, at fejlen er udbedret på fire forskellige Windows-enheder - og sårbarheden er ikke patchet i skrivende stund. Tværtimod lader den seneste udgave af DSA stadig angribere eksekvere hvad som helst med administrator-rettigheder.
»Det er mildest talt pisse ærgerligt, at Intel ikke holder, hvad de lover, når vi indrapporterer en bug som denne her, der er til stede på så mange enheder på verdensplan,« siger Claus Vesthammer, der er COO i Improsec.
Intel havde nemlig lovet Improsec, at fejlen ville blive løst inden de tre måneder, Improsec giver firmaer til at patche sikkerhedshuller, inden de offentliggør dem.
Jeg kan ikke huske at det nogensinde har været "failure" Men det er nok bare fordi det sker så sjældent.
Desuden forhindre det jo ikke at man kan installerer alt muligt uden om pakkehåndteringen - hvis man gider at opdatere pakkerne separat.
Så jeg har svært ved at se at derer noget der taler imod.
Tjah, og på den anden side er det single point of failure. For og imod.
Når der er penge i det :)
De har jo forsøgt med deres "shop" men folk er nok ikke trygge ved at MS skal have kontrol med alt hvad der installeres.
Som hovedsageligt linux bruger, bliver jeg altid lidt utryg over at skulle hente og eksekverer programmer, fra mange froskellige kilder....
Hvornår får Windows mon en central pakke-manager, som er ansvarlig for at hente og installere opdateringer? Det er jo tudetosset og hamrende usikkert, at hver leverandør har sin egen process kørende med root-rettigheder.
Alle store, moderne linux'er har en indbygget pakke-manager, der henter signerede opdateringer online.apt startede fx for 22 år siden og i 2005 blev secure apt merget til Debian.
USA skal jo have en mulighed for lige at kigge med over skulderen!