Windows - Google veröffentlicht erneut offene Sicherheitslücken (Update)

Google veröffentlicht immer wieder Sicherheitslücken, die in Windows gefunden wurden.

Update: Google hat noch einmal nachgelegt und nun laut Computerworld auf einen Schlag gleich drei weitere ungepatchte Sicherheitslücken in Windows veröffentlicht. Dieses Mal dürfte sich der Zorn bei Microsoft allerdings in Grenzen halten, denn in allen drei Fällen will man keinen Patch für den Fehler entwickeln. Darüber wurde Google wohl auch informiert. Microsoft hält die gefundenen Fehler nicht für wichtig genug, um als Sicherheitsproblem zu gelten. Für die Ausnutzung der Sicherheitslücken müsse der Angreifer ohnehin schon umfassende Rechte auf dem System besitzen. Daher seien die gefundenen Fehler an sich nicht sicherheitsrelevant.

Originalmeldung: Schon in den vergangenen Wochen hatte Google zwei Sicherheitslücken veröffentlicht, die von Sicherheitsexperten des »Project Zero« gefunden worden waren. In beiden Fällen hatte Microsoft innerhalb der gesetzten Frist von 90 Tagen bis zur Veröffentlichung der Sicherheitslücke keinen Patch veröffentlicht. Im ersten Fall hielt Microsoft das Problem nicht für besonders wichtig, im zweiten Fall war der Patch bereits fertig. Obwohl Google darüber informiert war, wurden die Informationen zu dieser Lücke veröffentlicht, was Microsoft anschließend scharf kritisierte.

Nun hat Google erneut eine Sicherheitslücke in Windows 7 und Windows 8.1veröffentlicht und auch Beispielcode veröffentlicht, der zeigt, wie sich die Lücke ausnutzen lässt. Google dürfte für diese Veröffentlichung erneut stark kritisiert werden, denn auch in diesem Fall war der Patch bereits in Arbeit. Google selbst erklärt, dass Microsoft den Patch eigentlich im Januar 2015 hatte veröffentlichen wollen. Aufgrund von Kompatibilitätsproblemen wurde die Veröffentlichung aber für weitere Tests auf den Patch-Day am ersten Dienstag im Februar verlegt. Trotzdem hat Google nun die Informationen veröffentlicht.

Die betroffene Sicherheitslücke erlaubt es, auf den geschützten Speicher eines Programms zuzugreifen, das ein anderer Nutzer ausführt. Damit kann diese Lücke nur ausgenutzt werden, wenn bereits Zugriff auf das System besteht. Allerdings könnte dies nun Angreifern helfen, die sich bereits auf andere Weise Zugang beschafft haben. Google selbst steht auf dem Standpunkt, dass 90 Tage lange genug sind, um ein Problem zu lösen und dass die Nutzer einer betroffenen Software danach darüber informiert werden müssen. Nur so könnten sie sich eventuell selbst schützen. Microsoft selbst will aber ausreichend Zeit, um Patches zuvor testen zu können.