Bughunter verbetert exploitcode voor Windows-gat om Microsoft-patch te omzeilen
Een securityonderzoeker heeft verbeterde exploitcode gepubliceerd voor de RoguePlanet-kwetsbaarheid in Windows Defender. De code zou Microsofts patch van juli volledig omzeilen en een aanvaller die al lokale toegang heeft, systeemrechten kunnen geven.
De exploitcode van securityonderzoeker Nightmare-Eclipse heet ShieldBreak en is beschikbaar op ontwikkelplatform GitHub. De bughunter voelt zich miskend door Microsoft en publiceert als reactie zerodaygaten. De nieuwe exploitcode omzeilt volgens Nightmare-Eclipse Microsofts patch van begin juli volledig. Het gaat om de kwetsbaarheid RoguePlanet (CVE-2026-50656) , die in Microsofts securitysoftware Defender zit.
Gat in Windows 11, 10 en serverversies
ShieldBreak werkt op een gepatchte Windows-installatie, inclusief de nieuwste patchronde van augustus, meldt de onderzoeker op X. Nightmare-Eclipse heeft de proof-of- conceptcode getest op de 25H2-release van Windows 11 en op de vroege proefversie van Windows 11 in het Canary-releasekanaal van Microsoft. De exploitcode is daarnaast getest op Windows Server 2025.
Nightmare-Eclipse, ook bekend als Chaotic Eclipse, MSNightmare en Infinite Nightmare, claimt dat de exploitcode ook werkt op Windows 10 en oudere versies van Windows Server. In Windows Server 2016, 2019 en 2022 zit dezelfde onderliggende kernelsoftware als in Windows 10.
Misbruik van de RoguePlanet-kwetsbaarheid geeft aanvallers met lokale toegang tot Windows vergaande systeemrechten in het besturingssysteem, schrijft Security Affairs. Dit gebeurt via de Malware Protection Engine in Microsoft Defender. Die securitysoftware van Microsoft draait op alle ondersteunde versies van Windows.
Exploitcode verbeterd
Nightmare-Eclipse onthulde RoguePlanet begin juni en schreef toen dat de vrijgegeven exploitcode wat wisselvallig was. Succesvol misbruik van de kwetsbaarheid was niet gegarandeerd. De nu vrijgegeven, verbeterde exploitcode werkt wel 100 procent, claimt de maker in het readme-bestand op GitHub.
/i/2008304104.png?f=imagegallery)
Lees meer
:strip_icc():strip_exif()/i/2008100462.jpeg?f=fpa_thumb)
:strip_exif()/i/2005486054.jpeg?f=fpa)
Windows krijgt 416 bugfixes in grootste Patch Tuesday-ronde ooit
Nieuws van 15 juli 2026
:strip_exif()/i/2006057504.jpeg?f=fpa)
Boze bughunter onthult zeroday in Windows, net na Microsofts patchronde
Nieuws van 11 juni 2026
/i/2004763408.png?f=fpa)
Microsoft haalt uit naar onderzoekers die 'verkeerd' kwetsbaarheden melden
Nieuws van 28 mei 2026
Microsoft Defender kan automatisch gehackte apparaten isoleren
Nieuws van 26 mei 2026
/i/2006847412.png?f=fpa)
Simpele hacktool op USB-stick kraakt BitLocker-encryptie op Windows-pc's
Nieuws van 14 mei 2026
:strip_exif()/i/2004648158.jpeg?f=fpa)
Microsoft keert tijdens hackathon 2,3 miljoen dollar aan bugbounty's uit
Nieuws van 17 april 2026
Reacties (74)
Microsoft zou deze man een miljoen moeten geven voor alle zerodays die hij al heeft gevonden, ongeacht hoe asociaal hij is om ze direct te publiceren, met daarna voor elke toekomstige zeroday die hij vindt en wel ntejes eerst aan Microsoft meldt wederom een bedrag met 5 cijfers (af wat hij ook nodig heeft om tevreden te zijn). Iemand die zich zo vast heeft gebeten in het vinden van fouten ben je liever rijk dan kwijt.
Iemand die ze meteen publiceerd daar ook nog voor belonen? Ik dacht het toch even niet.
Dit hele circus is geloof ik ontstaan doordat Microsoft jarenlang niets liet horen of wou uitbetalen aan deze en andere hackers, en wel (stilletjes) de patches doorvoerde.
:strip_icc():strip_exif()/u/21673/crop65674aee06c6d_cropped.jpg?f=community)
Let wel, dat is het eenzijdige verhaal van de Nightmare Eclipse.
Dan nog kan je je afvragen of het publiceren van exploits waardoor veel bedrijven direct risico lopen wel geoorloofd is. Het doel heiligt niet alle middelen toch?
Waar twee vechten hebben er veelal twee schuld. De waarheid zal mogelijk ergens in het midden liggen.
Dan nog kan je je afvragen of het publiceren van exploits waardoor veel bedrijven direct risico lopen wel geoorloofd is. Het doel heiligt niet alle middelen toch?
Waar twee vechten hebben er veelal twee schuld. De waarheid zal mogelijk ergens in het midden liggen.
[Reactie gewijzigd door Bor op 12 augustus 2026 12:44]
Microsoft heeft nog niet echt de zaak gecorrigeerd. Het staat Microsoft vrij om de claims recht te praten, daar hebben ze een hele PR-afdeling voor.
Ze hebben een vaag blogartikel geplaatst waarin ze zeggen niet blij te zijn en dat ze samenwerken met anderen, en ze hebben juridisch dreigende taal geuit, maar op de woorden van de specifieke onderzoeker gaan ze niet in.
Als een invididu aantijgingen doet tegen een gigabedrijf en dat gigabedrijf de aantijgingen niet durft te ontkennen, ben ik geneigd te geloven dat Microsoft hier stil over is omdat ze weten dat er het één en ander speelt en dat ze beter geen leugens kunnen verspreiden die eenvoudig kunnen worden aangetoond. Het is ook niet alsof Microsoft nou bekend staat als een bedrijf dat eerlijk en transparant communiceert.
De backdoor die standaardversleuteling van consumenten-Windows omzeilt, die de wereld in is geholpen, heeft Microsoft ook niet verklaard. We weten nu dat de kwetsbaarheid werkt door het NTFS-journal van één schijf af te spelen op een andere schijf, maar waarom dat mogelijk is en hoe die fout is ontstaan heeft Microsoft niet uitgelegd. De aangingen van een backdoor die er expres in zit, zijn daarmee niet onaannemelijk. Niet gek dat Microsoft liever niet lief samenwerkt met iemand die hun geheime backdoors lekt en ze voor schut zet, natuurlijk.
Ze hebben een vaag blogartikel geplaatst waarin ze zeggen niet blij te zijn en dat ze samenwerken met anderen, en ze hebben juridisch dreigende taal geuit, maar op de woorden van de specifieke onderzoeker gaan ze niet in.
Als een invididu aantijgingen doet tegen een gigabedrijf en dat gigabedrijf de aantijgingen niet durft te ontkennen, ben ik geneigd te geloven dat Microsoft hier stil over is omdat ze weten dat er het één en ander speelt en dat ze beter geen leugens kunnen verspreiden die eenvoudig kunnen worden aangetoond. Het is ook niet alsof Microsoft nou bekend staat als een bedrijf dat eerlijk en transparant communiceert.
De backdoor die standaardversleuteling van consumenten-Windows omzeilt, die de wereld in is geholpen, heeft Microsoft ook niet verklaard. We weten nu dat de kwetsbaarheid werkt door het NTFS-journal van één schijf af te spelen op een andere schijf, maar waarom dat mogelijk is en hoe die fout is ontstaan heeft Microsoft niet uitgelegd. De aangingen van een backdoor die er expres in zit, zijn daarmee niet onaannemelijk. Niet gek dat Microsoft liever niet lief samenwerkt met iemand die hun geheime backdoors lekt en ze voor schut zet, natuurlijk.
[Reactie gewijzigd door GertMenkel op 12 augustus 2026 13:19]
Uitvechten over media is sowieso nooit een goed ding, dus hier heeft hun legal afdeling echt wel goed over nagedacht.
De blog van Microsoft is net zo vaag als die van de researcher hier. Toon maar aan dat je het proces hebt gevolgd wat microsoft heeft opgesteld voor deze bugs. Hij roept ook maar dingen in het rond. Als je alle stappen volgt heb je ook bewijs ervan, omdat er een papertrail ontstaat.
Die heb ik volgens mij nog ergens gezien.
En jij noemt het een backdoor, het kan ook een daadwerkelijke fout zijn geweest die gewoon niet opgemerkt is. Iets wat per ongeluk voor een test in de code is geslopen en niemand eraan gedacht heeft het eruit te halen. Waarom zou Microsoft dat moeten verklaren? Is het uberhaupt mogelijk voor hen om dat te verklaren als de fout er al lang in zit?
De blog van Microsoft is net zo vaag als die van de researcher hier. Toon maar aan dat je het proces hebt gevolgd wat microsoft heeft opgesteld voor deze bugs. Hij roept ook maar dingen in het rond. Als je alle stappen volgt heb je ook bewijs ervan, omdat er een papertrail ontstaat.
Die heb ik volgens mij nog ergens gezien.
En jij noemt het een backdoor, het kan ook een daadwerkelijke fout zijn geweest die gewoon niet opgemerkt is. Iets wat per ongeluk voor een test in de code is geslopen en niemand eraan gedacht heeft het eruit te halen. Waarom zou Microsoft dat moeten verklaren? Is het uberhaupt mogelijk voor hen om dat te verklaren als de fout er al lang in zit?
/u/589858/crop5e0b762f21d3c_cropped.png?f=community)
Ik denk dat de reacties van andere security researchers in het verlengde van Nightmare Eclipse's releases wel boekdelen spreekt. Meer dan genoeg voorbeelden van mensen die vergelijkbare bugs hebben gerapporteerd met hetzelfde resultaat.
Dat ze vervolgens als zeroday worden gepubliceerd omdat ze niet via MSRC willen werken is dan een logische reactie. Niet dat ik het er dan mee eens ben, maar het is logisch. Dat is dan ook waar "de schuld" van Nightmare Eclipse ligt.
Dat ze vervolgens als zeroday worden gepubliceerd omdat ze niet via MSRC willen werken is dan een logische reactie. Niet dat ik het er dan mee eens ben, maar het is logisch. Dat is dan ook waar "de schuld" van Nightmare Eclipse ligt.
[Reactie gewijzigd door jja2000 op 12 augustus 2026 13:14]
Het lastige is dat je in die gevallen ook veelal een eenzijdig verhaal hebt dat vaak niet tot lastig is te verifiëren. En stel dat die verhalen kloppen; is dat dan voldoende reden om geen responsible discosure meer te volgen maar exploits gewoon publiekelijk online te gooien?Ik denk dat de reacties van andere security researchers in het verlengde van Nightmare Eclipse's releases wel boekdelen spreekt. Meer dan genoeg voorbeelden van mensen die vergelijkbare bugs hebben gerapporteerd met hetzelfde resultaat.
Voor de duidelijkheid : nee. Je volgt responsible disclosure (white hat) of je volgt het niet (black/grey hat).
:strip_icc():strip_exif()/u/262333/crop55e7812829401.jpeg?f=community)
Responsible disclosure vereist de input van beide partijen. Als 1 partij doet alsof er niets is gebeurd (ms) dan is het vrij makkelijk om een white hat eenzijdig om te dopen naar black hat.
In dat geval dan maar tijdelijk extra schade dat MS het voelt zodat het in de toekomst geen issue meer is.
Uiteindelijk zijn alle bugs en zero-days 100% door MS zelf gemaakt en is de consument de slachtoffer.
In dat geval dan maar tijdelijk extra schade dat MS het voelt zodat het in de toekomst geen issue meer is.
Uiteindelijk zijn alle bugs en zero-days 100% door MS zelf gemaakt en is de consument de slachtoffer.
Ja kijk, dat is dus mogelijk deels het probleem hier. Als je de 2de bent die een bug rapporteerd, krijg je daar geen beloning voor. Deze persoon kan wel zeggen wat ze willen, maar zonder Microsoft's kant van het verhaal te horen betekend dat niet veel.Ik denk dat de reacties van andere security researchers in het verlengde van Nightmare Eclipse's releases wel boekdelen spreekt. Meer dan genoeg voorbeelden van mensen die vergelijkbare bugs hebben gerapporteerd met hetzelfde resultaat.
Microsoft hoeft niet te 'vechten' dat is net als de FIscus, als je die mensen wat schuldig bent, kan je maar beter betalen, anders heb JIJ het gedaan en niet de Fiscus en zal JIJ op de blaren moeten zitten.
Zo werkt dat met grote bedrijven ook.
Als jij als freelancer voor een grote vis werkt en vervolgens word je niet betaald.
Wie denkt u dan dat er achter z'n poen aan mag zonder dure advocaten/juristen en een dik 'team' aan mensen?? dat bent uzelf hoor, niet dat miljarden multi-national bedrijf.
Die hebben de zaakjes vaak wel dik op orde en zullen als ze ergens onderuit KUNNEN komen, het niet laten om het minstens te 'proberen'
Zo werkt dat met grote bedrijven ook.
Als jij als freelancer voor een grote vis werkt en vervolgens word je niet betaald.
Wie denkt u dan dat er achter z'n poen aan mag zonder dure advocaten/juristen en een dik 'team' aan mensen?? dat bent uzelf hoor, niet dat miljarden multi-national bedrijf.
Die hebben de zaakjes vaak wel dik op orde en zullen als ze ergens onderuit KUNNEN komen, het niet laten om het minstens te 'proberen'
Het gat bestaat ongeacht of de exploit gepubliceerd wordt of niet. Op deze manier kunnen gebruikers zelf ook mitigerende maatregelen treffen.
Ik zou verwachten dat als microsoft dacht dat ze gelijk hebben in deze saga dan hadden ze de PR afdeling er wel op uit gestuurd, het feit dat ze hun mond houden spreekt boekdelen...Let wel, dat is het eenzijdige verhaal van de Nightmare Eclipse.
Daar moeten we het mee doen als Microsoft niet reageert.Let wel, dat is het eenzijdige verhaal van de Nightmare Eclipse.
/offtopicWaar twee vechten hebben er veelal twee schuld.
Welke schuld had Oekraine.?
-
Het zal niet vanaf dag een haat en nijd zijn geweest, maar ooit krijg je door dat je wordt genegeerd. Het wordt een conflict en het verhardt. Zie hier het resultaat.
/u/383567/crop5c04351454e47_cropped.png?f=community)
Dat dus. Dit is gewoon payback.
En stil aan begint het steeds meer en meer duidelijk te zijn waarom Microsoft niet bepaald graag met deze persoon omging... Responsible Disclosure heet zo voor een reden, en deze persoon maakt alleen maar pijnlijk duidelijk dat het hen niets boeit.
Wat zou jij doen als al je eerdere bugreports worden weggewoven en onterecht niet geclassificeerd worden onder een bug-bounty programma? Ik snap hem helemaal. Wie niet wil luisteren moet maar voelen. Dit is Microsoft's eigen gekozen spel, en als zij niet volgens de spelregels spelen, waarom zou je als security specialist dan nog gehoorzamen?
Ik snap hem niet helemaal. Wanneer je je zin niet krijgt zijn er meerdere dingen die je kan doen. In dit geval wordt de moral low road gekozen lijkt het. "Wie niet luisteren wil moet maar voelen"? Dat klinkt bijna als chantage. Wie moet er precies voelen? In dit geval is dat niet alleen Microsoft maar ook alle klanten die nu (weer) mogelijk spoed patches moeten uitvoeren incl bijbehorende risico analyses etc. Dat kost gewoon geld. Je dupeert op deze manier veel tot zeer veel onschuldige mensen als er hier überhaupt van schuld gesproken kan worden. Tot nu toe horen we alleen het eenzijdige en mogelijk niet zo heel objectieve verhaal van Nightmare-Eclipse.
Microsoft heeft niet gereageerd op de aantijgingen dat ze kwetsbaarheden wel oplossen maar niet als kwetsbaarheid willen behandelen in hun bug bountyprogramma. Ze hebben wel een github-account uitgezet en hun "digitale misdaad-unit" op de zaak gezet, maar ze ontkennen niet wat er gezegd wordt.
Een bedrijf met een PR-afdeling moet daar toch een mooi verhaal van kunnen maken. Dat dat niet gebeurd is, werkt niet in Microsoft's voordeel.
Daarnaast zijn de kosten voor het patchen van Windows veroorzaakt door de manier waarop Windows werkt. Je mag Microsoft aankijken als hun software zo kapot is dat je iedere keer noodpatches moet uitrollen naast je normale onderhoud.
Een bedrijf met een PR-afdeling moet daar toch een mooi verhaal van kunnen maken. Dat dat niet gebeurd is, werkt niet in Microsoft's voordeel.
Daarnaast zijn de kosten voor het patchen van Windows veroorzaakt door de manier waarop Windows werkt. Je mag Microsoft aankijken als hun software zo kapot is dat je iedere keer noodpatches moet uitrollen naast je normale onderhoud.
Ik vind dit een beetje een dooddoener. Dit komt bij zeer veel bedrijven voor helaas. Abobe, Oracle, Linux discributies en veel veel meer producenten en aanbieders brengen wel eens spoed patches uit. Dat is inherent aan hoe kwetsbaarheden in elkaar steken. We werken doorgaans niet voor niets met de CVSS score die mede aangeeft hoe kritiek (of niet) een lek / patch is (hoewel daar ook nog wel het eea op aan te merken valt)Je mag Microsoft aankijken als hun software zo kapot is dat je iedere keer noodpatches moet uitrollen naast je normale onderhoud.
:strip_exif()/u/160250/crop684decfc73353.gif?f=community)
Aanvullend: Nightmare Eclipse claimt in het verleden zero-days gevonden te hebben en vervolgens niets van Microsoft vernomen te hebben. Dat was het begin van de ruzie. Maar het is niet uitgesloten dat:
- Hij niet de eerste was die de zero-day meldde
- Het niet echt een bug, maar een keuze was. (ik heb geen inzicht, maar ik kan me redenen bedenken waarom bepaalde keuzes gemaakt worden: (evil) Geheime diensten, of prioriteiten, maar (minder evil) soms ook t.b.v. performance.)
/u/59144/aMSN_96.png?f=community)
De moral low road is volgens mij de zero days verkopen op de zwarte markt of aan bedrijven die spionage tools maken. Niet meer willen samenwerken met Microsoft en dan zelf publiceren zodat iedereen ze kan zien is zowat tussenin.
Naar mijn mening heeft Microsoft als grote organisatie, die een paar jaar geleden de belofte gemaakt heeft om security topprioriteit te maken een grote fout begaan door security researchers niet beter te behandelen.
Naar mijn mening heeft Microsoft als grote organisatie, die een paar jaar geleden de belofte gemaakt heeft om security topprioriteit te maken een grote fout begaan door security researchers niet beter te behandelen.
Een miljarden bedrijf als Microsoft wat bugbounties uitgeeft, de bughunter(s) in kwestie na het vinden maanden/jarenlang niet betaald.
MAAR vervolgens WEL een gevonden problemen patcht uitbrengen als 'fix'
'Ik dacht het toch even niet'
Alsof jou baas zegt: ontwikkel dit stuk software, dat gaat mijn bedrijf XYZ opleveren.
Je krijgt er (...) voor en vervolgens nadat het project is uitgerold krijg je een lange neus, dikke vinger en zegt ja baas: 'vriendelijk bedankt voor je werk he! PS. naar je loon/vergoeding kan je fluiten BTW'
Dat soort geintjes dat flik je natuurlijk bij een beetje knappe White hate/grey hat hacker 1x.. daarna ben je 100.000% de sjaak als je hem/haar erbij probeert te naaien of te flessen met het niet uitbetalen van de afgesproken vergoeding/bounty.
Zo kan ik ook wel rijk worden over de rug van een ander...
MAAR vervolgens WEL een gevonden problemen patcht uitbrengen als 'fix'
'Ik dacht het toch even niet'
Alsof jou baas zegt: ontwikkel dit stuk software, dat gaat mijn bedrijf XYZ opleveren.
Je krijgt er (...) voor en vervolgens nadat het project is uitgerold krijg je een lange neus, dikke vinger en zegt ja baas: 'vriendelijk bedankt voor je werk he! PS. naar je loon/vergoeding kan je fluiten BTW'
Dat soort geintjes dat flik je natuurlijk bij een beetje knappe White hate/grey hat hacker 1x.. daarna ben je 100.000% de sjaak als je hem/haar erbij probeert te naaien of te flessen met het niet uitbetalen van de afgesproken vergoeding/bounty.
Zo kan ik ook wel rijk worden over de rug van een ander...
[Reactie gewijzigd door MalamuteOC op 12 augustus 2026 13:54]
Zeker, dat is niet de bedoeling 
maar dit is ook niet de manier. Negatief bedrag moet je nooit belonen.
maar dit is ook niet de manier. Negatief bedrag moet je nooit belonen.
Nee precies, Microsoft die dit bij MEERDERE mensen en bug hunters flikt..
Dat moet je inderdaad NIET belonen, maar KEIHARD afstraffen.
Als je als mega corp. 'even' een meervoud van je 'werknemers' (want dat zijn het feitelijk in freelance vorm)
Niet betaald, dan staan daar gewoon consequenties tegenover.
Enkel zijn bij deze bughunter de consequenties zeer serieus.
Maargoed als je 10 man probeert te flessen door ze niet te betalen zoals afgesproken.
zal er 100% een moment komen dat er 1-2 zeggen: tot hier en niet verder..
Dan ga je OOK als groot bedrijf, gewoon voor de spreekwoordelijke bijl..
Want een multinational zijn maakt je niet immuun voor het nakomen van beloftes..
Dat soort gedrag moet je ZEKER niet belonen, maar KEIHARD afstraffen, zie hier het resultaat van beloftes niet nakomen.
Dat moet je inderdaad NIET belonen, maar KEIHARD afstraffen.
Als je als mega corp. 'even' een meervoud van je 'werknemers' (want dat zijn het feitelijk in freelance vorm)
Niet betaald, dan staan daar gewoon consequenties tegenover.
Enkel zijn bij deze bughunter de consequenties zeer serieus.
Maargoed als je 10 man probeert te flessen door ze niet te betalen zoals afgesproken.
zal er 100% een moment komen dat er 1-2 zeggen: tot hier en niet verder..
Dan ga je OOK als groot bedrijf, gewoon voor de spreekwoordelijke bijl..
Want een multinational zijn maakt je niet immuun voor het nakomen van beloftes..
Dat soort gedrag moet je ZEKER niet belonen, maar KEIHARD afstraffen, zie hier het resultaat van beloftes niet nakomen.
Ik had het over de hacker, niet Microsoft. Er zijn andere manieren om dat op te lossen, dat doe je niet zo Het is gewoon niet etisch wat die persoon doet, kan je lang en kort over lullen.
Het is gewoon niet etisch wat die persoon doet, kan je lang en kort over lullen.
[Reactie gewijzigd door Nephalem82 op 12 augustus 2026 14:13]
Nee, want Microsoft heeft dit trucje bij MEERDERE hackers/bughunters geflikt de afgelopen jaar/jaren.
WEL de bug melding/fix ontvangen, doorvoeren en vervolgens met de bounty niet thuisgeven.
Dat is niet hoe de wereld werkt.
Alsof jij (nogmaals) voor een baas werkt, een project ontwikkeld om zijn bedrijf efficiënter te maken..
Om vervolgens bij het voltooien van het project een dikke vinger en een schop te krijgen zonder betaald te worden.
Dat soort gedrag 'moet je niet belonen'
WEL de bug melding/fix ontvangen, doorvoeren en vervolgens met de bounty niet thuisgeven.
Dat is niet hoe de wereld werkt.
Alsof jij (nogmaals) voor een baas werkt, een project ontwikkeld om zijn bedrijf efficiënter te maken..
Om vervolgens bij het voltooien van het project een dikke vinger en een schop te krijgen zonder betaald te worden.
Dat soort gedrag 'moet je niet belonen'
:strip_icc():strip_exif()/u/87681/crop658b307e16d31.jpg?f=community)
Je vergeet een serie uitroeptekens bij je hoofdletters
Je kunt blijven herhalen wat je eerder zei , maar ik ben het er gewoon niet mee eens. Het gedrag van de hacker valt niet goed te praten, simpel .
Ben het volledig eens met de post van @PatrickvanD in deze.
. Ben het volledig eens met de post van @PatrickvanD in deze.
[Reactie gewijzigd door Nephalem82 op 12 augustus 2026 14:17]
ja idd, je kant blijven herhalen dat het niet zo is...
Maar daar ben IK het niet mee eens.
Fijne dag verder.
Maar daar ben IK het niet mee eens.
Fijne dag verder.
Dan beloon je maar niet. Dan staan gevonden fouten nog hetzelfde uur online.Negatief bedrag moet je nooit belonen.
Rancuneus als ik ben begrijp ik Bughunter goed.
En dat is dus onethisch en verspeel je alle krediet .
.
:strip_icc():strip_exif()/u/662651/crop6970f4a540fb1_cropped.jpg?f=community)
Dat is niet helemaal zonder reden. Meerdere keren heeft Nightmare Ecipse bugs aangemeld die door Microsoft simpelweg werden bestempeld als "niet belangrijk", waarna ze dan toch waren gepatched in de eerst volgende update. In die zin zou microsoft hier dus wel enigszins om gevraagd hebben door te krenterig te zijn om Nightmare Ecipse adequaat te vergoeden. Althans, er van uitgaande dat Nightmare Ecipse niet zomaar wat zegt.
Ik weet niet precies wat Nightmare Ecipse hier mee hoopt te bereiken, want het lijkt er niet op dat microsoft nog zaken wilt doen met hun, maar ik snap wel de frustratie wanneer je enorm veel moeite stopt in het vinden van bugs, en daar schijnbaar te veel dingen vind tot het punt dat microsoft jouw niet meer wilt betalen.
Ik weet niet precies wat Nightmare Ecipse hier mee hoopt te bereiken, want het lijkt er niet op dat microsoft nog zaken wilt doen met hun, maar ik snap wel de frustratie wanneer je enorm veel moeite stopt in het vinden van bugs, en daar schijnbaar te veel dingen vind tot het punt dat microsoft jouw niet meer wilt betalen.
Dat klopt en dat is precies de reden om niet gelijk te suggereren dat deze persoon beloond moet worden, of extremer, Microsoft gestraft. Er is veel onduidelijk rond dit hele gebeuren en dat maakt oordelen lastig tot onmogelijk. Zo is er is slechts 1 partij die naar buiten treed en de andere kant onder druk probeert te zetten.Jij kent het hele verhaal niet he?
Aan de andere kant kan je je inmiddels wel afvragen hoe etisch dit persoon nog bezig is. De publicaties lijken meer en meer bedoeld om MS een hak te zetten dan om de veiligheid van de producten van MS te verbeteren. De manier waarop dit gebeurt zorgt niet alleen bij Microsoft maar ook bij haar afnemers voor onnodige risico's en kosten.
Kosten voor ms? Als ze wat meer geld in testen steken zijn dit soort design flaws te voorkomen. Voor klanten van ms is het een ander verhaal.
Ja, (ook) kosten voor Microsoft. Het is niet zo eenvoudig als "wat meer geld steken in testen". Niet alle bugs worden duidelijk tijdens testen zichtbaar. Geen enkele test biedt 100% dekking en zekerheid.
Bug bounties met het verdiende respect behandelen had een hoop van deze ellende gescheeld.
Wie zegt dat dit niet is gebeurt? Hoe weten we bv dat Nightmare Eclipse de eerste was die een lek melde en dat het daadwerkelijk een groot lek betrof, deze op de hiervoor bedoelde manier is aangedragen etc? Het is moeilijk te oordelen op basis van eenzijdige informatie. Er spelen meerdere factoren mee in de overweging om wel of geen bug bounty uit te keren.
/u/239959/crop6299c74b18146.png?f=community)
Microsoft kiest hier zelf voor de onduidelijkheid.
Met behulp van blockchain is het redelijk eenvoudig om 100% transparant aan te tonen wie dit als eerste gemeld heeft en wie in aanmerking komt voor de bounty.Ook als daadwerkelijk gemeldde exploit pas na een periode wordt vrijgegeven.
Met behulp van blockchain is het redelijk eenvoudig om 100% transparant aan te tonen wie dit als eerste gemeld heeft en wie in aanmerking komt voor de bounty.Ook als daadwerkelijk gemeldde exploit pas na een periode wordt vrijgegeven.
Wat een onzin. Beveiligingsproblemen gaan er altijd zijn, en ongeacht wat wie dan ook doet is geen enkel probleem op voorhand te voorkomen.
Hoe 'ethisch' is Microsoft de laatste paar 'jaar' nog?
Updates die de boel bricken pushen, dus niet zorgvuldig testen.
Je zal maar een bedrijf runnen wat op windows draait.
Ga je dan ook een boze e-mail (als alles weer gefixt is) sturen naar MS: mijn bedrijf lag X tijd stil, dus kom maar op met de Comp?
nee toch?
Daar krijg je 100% geen gehoor van terug.
Als je als bedrijf maar lang genoeg je bug hunters/bounties niet uitbetaald maar wel de fix doorvoert..
Dan vraag je natuurlijk 100% om problemen.
Alsof je een huis laten bouwen en na afloop de aannemer en bouwvakkers weigert te betalen.
Dan eindig je ook in de rechtzaal. (en terecht!)
Updates die de boel bricken pushen, dus niet zorgvuldig testen.
Je zal maar een bedrijf runnen wat op windows draait.
Ga je dan ook een boze e-mail (als alles weer gefixt is) sturen naar MS: mijn bedrijf lag X tijd stil, dus kom maar op met de Comp?
nee toch?
Daar krijg je 100% geen gehoor van terug.
Als je als bedrijf maar lang genoeg je bug hunters/bounties niet uitbetaald maar wel de fix doorvoert..
Dan vraag je natuurlijk 100% om problemen.
Alsof je een huis laten bouwen en na afloop de aannemer en bouwvakkers weigert te betalen.
Dan eindig je ook in de rechtzaal. (en terecht!)
Behalve dat je met de aannemer een contract hebt dat die x werk gaat uitvoeren voor x geld. De bughunters hebben dit niet, dus absoluut niet te vergelijken. En dan moeten we er ook nog eens van uit gaan dat nightmare-eclipse hier helemaal de waarheid spreekt. We horen maar 1 kant van het verhaal.
[Reactie gewijzigd door Lagonas op 12 augustus 2026 15:44]
Iemand die onethisch handelt in dit vakgebied moet je helemaal niet belonen imho. Met het opzettelijk negeren van zaken als responsible disclosure etc geef je eigenlijk al aan aan het verkeerde kant van het spectrum te zitten. Wat is de volgende stap? Extortion?
Ik ben het 100% met je eens en ik zou deze persoon ook niet willen belonen voor zijn (eerdere) gedrag. Aan de andere kant vind ik dat de bevindingen van deze persoon zo waardevol zijn dat Microsoft alles op alles moet zetten om hem tevreden en aan hun kant te krijgen. Nu publiceert hij de zerodays nog, morgen verkoopt hij ze aan een partij die er daadwerkelijk een aanval mee op wil zetten.
Elke andere manier die Microsoft zou kunnen proberen om deze persoon te stoppen met de huidige werkwijze (aansturen op gevangenisstraf of wat dan ook) lijkt mij ook niet productief. De bugs die hij nu niet vindt, worden later wel door anderen gevonden (waarvan je de intentie ook niet kent).
Elke andere manier die Microsoft zou kunnen proberen om deze persoon te stoppen met de huidige werkwijze (aansturen op gevangenisstraf of wat dan ook) lijkt mij ook niet productief. De bugs die hij nu niet vindt, worden later wel door anderen gevonden (waarvan je de intentie ook niet kent).
:strip_icc():strip_exif()/u/99032/icon.jpg?f=community){kind=icon}
Zit wat meer geschiedenis achter, thans volgens wat de persoon zelf aangeeft.
Zou voorheen wat bugs aangegeven hebben en door Microsoft zijn zuurverdiende centen geweigerd zijn.
Heb het niet helemaal gevolgt, dus kan er iets naast zitten.
Zou voorheen wat bugs aangegeven hebben en door Microsoft zijn zuurverdiende centen geweigerd zijn.
Heb het niet helemaal gevolgt, dus kan er iets naast zitten.
:strip_icc():strip_exif()/u/1434986/crop649350276f23c_cropped.jpg?f=community)
Ik vind dat je hier wel een beetje makkelijk overheen stapt zo.ongeacht hoe asociaal hij is om ze direct te publiceren
Responsible disclosure is er net zo veel voor de uiteindelijke eindgebruikers als Microsoft zelf, die helemaal geen partij zijn in die fittie die hij al dan niet met Microsoft heeft.
Ik denk dat ze het beste even fysiek kunnen afspreken en een kop koffie met elkaar moeten drinken. De twee partijen hebben duidelijk wat relationele problemen die uitgesproken moeten worden.
Ik lees niet dat de persoon het om geld te doen is. Eerder om het opzettelijk dwars zitten en andere personen daarbij ook maar benadelen omdat de persoon rancuneus is en zelf erg lage ethische grenzen heeft. Dat hoort eerder geen beloning op te leveren maar vervolging. Anders laat je je als bedrijf en samenleving afpersen dat de persoon maar kan doen wat die zelf wil zonder rekeninig te houden met eigen verantwoordelijkheid naar slachtoffers.
Deze persoon heeft/had nog een appeltje te schillen met MS...
Je lijkt hier te suggereren dat men opzettelijk security bugs in Windows stopt. Dat is natuurlijk volkomen kolder. Geen enkel product is bugvrij helaas. We zien dit soort bugs ook bij andere besturingssystemen inclusief Apple en Linux. Waar gewerkt wordt worden fouten gemaakt. Een besturingssysteem is daarbij een zeer complex geheel van componenten.
[Reactie gewijzigd door Bor op 12 augustus 2026 13:09]
Het is in Windows niet nodig om dit te doen, dus geen overheid zal zijn vingers hieraan branden. Maar ik denk dat er in het verleden genoeg voorbeelden te vinden zijn waarbij overheden achterdeuren in soft- en en hardware stoppen.Je lijkt hier te suggereren dat men opzettelijk security bugs in Windows stopt. Dat is natuurlijk volkomen kolder.
In het verleden is het nederlandse telecomnetwerk meerdere keren gehacked door een buitenlandse (bevriende) overheden via opzettelijke achterdeuren.
En volgens mij zijn er nog steeds overheden die verplicht achterdeuren in encryptie en hardware proberen te plaatsen, zelfs via wetten.
Dan heb je het over backdoors waarbij er hier geen enkele aanleiding is om hier vanuit te gaan. Een backdoor is een opzettelijke mogelijkheid tot toegang en wat anders als een "security bug" waar hiervoor naar werd verwezen.Maar ik denk dat er in het verleden genoeg voorbeelden te vinden zijn waarbij overheden achterdeuren in soft- en en hardware stoppen.
Niet opzettelijk, maar het ontwerp van Windows als generiek os is inmiddels zo ver uitgerekt dat het c2 security niveau wat het ooit had (nt4) bij lange na niet gaat lukken. In plaats van dat aan te pakken zien we nieuwe/oude startmenu features de frontpage halen.
Er zijn hier meer die dat doen, raar gedrag en inderdaad volslagen onzin.
:strip_icc():strip_exif()/u/640752/crop5bf9b6f8d553f_cropped.jpeg?f=community)
zou wel eens willen zien hoe zo,n gast te werk gaat, en dan wel in jip en janneke taal.
en dan ook benieuwd hoeveel tijd die gast nodig heeft om zoiets te vinden.
en dan ook benieuwd hoeveel tijd die gast nodig heeft om zoiets te vinden.
Hi CoPilot, here are July’s patch notes and binaries. Here is my previous exploit.
Fix it, make no mistakes.
Fix it, make no mistakes.
:strip_icc():strip_exif()/u/61340/125281113_256.jpg?f=community)
LiveOverflow op YouTube heeft recent een kleine serie gedaan over een exploit in Firefox, en hoe Mozilla dat oppakt (en wel via responsible disclosure). Dat en andere videos op zijn channel geven een leuk inkijkje.
Wie mijn pc aanzet heeft meteen toegang. Geen exploit voor nodig :-)
Gewoon geen wachtwoord
Gewoon geen wachtwoord
:strip_icc():strip_exif()/u/671509/crop5fd727501ffc5_cropped.jpeg?f=community)
Ik snap niet dat tegen hemniks wordt gedaan. Hij reageerd alsof hij op zijn tenen getrapt is omdat hij niet de reactie van Microsoft krijgt die hij wil hebben. Hij reageerd dus net als een klein kind wat de zin niet krijgt en dan zegt "als jij niet doet wat jij wil, ga ik dit doen. Lekker puhh". Oppaken zo een en laten boeten. In wezen is hij nou een crimineel omdat hij zijn HACK methode openbaar zet voor andere criminelen. De schade die Microsoft daardoor lijdt is gigantisch.
Inderdaad super goed onderbouwde logica, iedereen die iets doet wat niet direct 100% duidelijk is voor de gemiddelde Nederlander gewoon de cel in (????).
Als hij het eerst heeft gemeld bij Microsoft en zij een redelijke tijd hebben gehad om het op te lossen, dan is het publiceren van een kwetsbaarheid niet per definitie strafbaar. Gebruik maken van zo'n kwetsbaarheid dan weer wel.
De exploidcode is echter ontworpen om de oplossing van Microsoft te omzeilen en dat zou het publiceren strafbaar kunnen maken. (In Nederland: Wet computercriminaliteit III, Artikel 161septies Sr: aanbieden van middelen om computercriminaliteit te plegen.)
De exploidcode is echter ontworpen om de oplossing van Microsoft te omzeilen en dat zou het publiceren strafbaar kunnen maken. (In Nederland: Wet computercriminaliteit III, Artikel 161septies Sr: aanbieden van middelen om computercriminaliteit te plegen.)
/u/85038/mp3-file.JPG?f=community)
Het gaat niet om MS, het gaat om de 100 miljoenen Windows-gebruiken die extra risico lopen om gehackt te worden door dit volstrekt onverantwoorde gedrag. Dit is asociaal, op het criminele af.
Sinds wanneer is iemand die iets beschrijft 'crimineel'? Want dat is wat je doet als je fouten/lekken/bewuste backdoors documenteert.
Microsoft loopt wellicht wat reputatieschade op maar krijgen alsnog gratis gevonden kwetsbaarheden aangeboden met werkende voorbeeld code. Als dit niet gebeurt blijft het er wellicht nog jaren inzitten.
Consumenten winnen hier ook. Het is niet alsof dit pas mogelijk is nadat iemand publiek code deelt.
Wat de echte verliezers betreft... Omstreden beveiligingsbedrijven die hun hacktools aan overheden aanbieden tegen grof geld en nu wellicht naar nieuwe exploits op zoek moeten?
Microsoft loopt wellicht wat reputatieschade op maar krijgen alsnog gratis gevonden kwetsbaarheden aangeboden met werkende voorbeeld code. Als dit niet gebeurt blijft het er wellicht nog jaren inzitten.
Consumenten winnen hier ook. Het is niet alsof dit pas mogelijk is nadat iemand publiek code deelt.
Wat de echte verliezers betreft... Omstreden beveiligingsbedrijven die hun hacktools aan overheden aanbieden tegen grof geld en nu wellicht naar nieuwe exploits op zoek moeten?
Om te kunnen reageren moet je ingelogd zijn