Microsoft laat lek in oude Office-versie zitten

Het uitblijven van een patch voor de kwetsbaarheid in Office blijkt uit een toelichting op een van de 10 security bulletins die Microsoft dinsdagavond heeft vrijgegeven. In de uitleg bij security bulletin MS10-036 staat dat in Office XP “de architectuur ontbreekt om de nodige reparaties behoorlijk te ondersteunen voor een correctie validering”.

Er zou een “zeer aanzienlijk” herontwerp van Office XP nodig zijn, ook van niet direct met het lek samenhangende componenten, om die ondersteuning alsnog toe te voegen. Bovendien zou al doende waarschijnlijk incompatibiliteit met andere applicaties kunnen ontstaan.

Als alternatief voor de patch adviseert Microsoft gebruikers van Office XP om uit zijn zogeheten Fix It-bibliotheek een speciale tool te downloaden en te installeren. De tool neemt de onderliggende oorzaak niet weg maar zou in de praktijk soortgelijke bescherming bieden als de patch die dinsdag is verspreid voor Office 2003 en 2007. De gevolgen van het aanbrengen van deze 'workaround' voor de compatibiliteit van applicaties zijn waarschijnlijk "minimaal", maar klanten krijgen toch het advies de Fix it-tool eerst te testen. Er is ook een hersteltool beschikbaar om de fix weer ongedaan te maken.

Gebruikers van Office 2003 of 2007 moeten overigens voorzorgsmaatregelen treffen voordat ze de patch van afgelopen dinsdag toepassen. Zo moet voor Office 2003 eerst service pack 3 (SP3) zijn geïnstalleerd en dienen gebruikers van Office 2007 het kantoorpakket te updaten met SP1 of SP2.

In september 2009 zag Microsoft ook al af van het aanbieden van een patch voor een van zijn oudere producten. Het ging toen om twee fouten in de implementatie van TCP/IP in Windows 2000 en Windows XP.

Beveiligingsexperts menen dat gebruikers van gedateerde pakketten als Office XP er hoe dan ook goed aan doen naar een latere versie op te waarderen. Computerworld citeert een expert van Qualys die erop wijst dat van de 14 deze maand gepatchte lekken in Excel er 11 in Office XP zitten en maar 3 in de nieuwere versies.