DLL-kaping wordt nauwelijks bestreden

Dat stelt het Sloveense Acros, dat het ‘DLL hijacking’-probleem – ook wel 'DLL planting bug' genoemd - eerder dit jaar aan het licht bracht. En Acros onderbouwt die bewering met getallen: van 151 softwareprogramma’s waarvan publiek bekend is dat ze aan het probleem lijden, zijn er 97 dagen nadat het probleem wereldkundig is gemaakt, pas 23 gerepareerd. Daarbovenop zijn er 66 applicaties waarvan Acros weet dat ze kwetsbaar zijn voor DLL-kaping; daarvan zijn er 4 gerepareerd.

Redactie AG ConnectMeer van deze auteur

Stuxnet maakt gebruik van DLL planting bug
Het DLL-kapingsprobleem ontstaat als programmeurs wanneer ze een dynamic link library aanroepen, het toegangspad niet volledig specificeren. Bij slordigheidjes op dat vlak kunnen hackers een applicatie ertoe te brengen om een DLL van eigen makelij met kwaadaardige code te laden wanneer het beoogde slachtoffer bijvoorbeeld een vervuilde website bezoekt of rechtstreeks via een intern server. Overigens maakte ook de Stuxnet gebruik van dit mechanisme.

Microsoft voelt zich niet verantwoordelijk voor het oplossen van het probleem, hoewel sommigen menen dat een aanpassing in het DLL-aanroepmechanisme in Windows geboden is. Wel heeft Microsoft een uitgebreid adviesbulletin uitgebracht waarin het beheerders tips geeft om het probleem te bestrijden.

Slechts weinigen voelen zich verantwoordelijk
Maar de softwareleveranciers nemen hun verantwoordelijkheid dus niet, constateert Acros. Merkwaardig genoeg zijn juist de grotere softwareleveranciers traag met reageren. Gunstige uitzonderingen zijn de browsers Safari van Apple, Opera van Opera en Firefox van Mozilla.

Bij uitvoerbare bestanden bestaat overigens een vergelijkbaar probleem, heeft Acros geconstateerd. Daar zijn van de 8 bekende kwetsbare softwarepakketten 7 gerepareerd. Van 28 pakketten waarvan niet publiek bekend is dat ze aan de ‘exe planting bug’ lijden, is er ook geen enkele gerepareerd.

Van alle ‘planting bugs’ waar Acros weet van heeft, is nog niet een op de zeven gedicht. Ondanks alle aandacht die de afgelopen drie maanden is besteed aan het probleem.