Fehler in Windows XP - Google verärgert Microsoft (Update)

Der bei Google beschäftigte Programmierer Tavis Ormandy hat eine bisher unbekannte Sicherheitslücke in Windows XP entdeckt und Microsoft am 5. Juni kontaktiert. Speziell präparierte Webadressen können dazu genutzt werden, Programme auf dem Rechner zu starten, die auch den Fernzugriff erlauben.

Vier Tage später informierte Ormandy nicht nur die Öffentlichkeit über den Fehler, sondern veröffentlichte auch alle Details, einen Workaround und Programmcode, der die Ausnutzung der Sicherheitslücke demonstriert.

Wie das Sicherheits-Team von Microsoft in seinem Blog schreibt, hatte man aufgrund der kurzen Zeitspanne gar keine Möglichkeit, das Problem zu analysieren oder zu beheben, statt dessen seien nun Angriffe über diese Lücke umso wahrscheinlicher. Es sei zwar gut, dass der Fehler von Google entdeckt wurde, allerdings sei die Analyse des Problems nicht vollständig und der Workaround, der vor dem Fehler schützen soll, sei leicht zu umgehen.

Kritik an der Veröffentlichung kommt nicht nur von Microsoft. Der Sicherheitsexperte Robert Hansen schreibt, dass Google lautstark dafür eintritt, Fehler nicht zu veröffentlichen, sondern nur an den Software-Hersteller weiterzuleiten, sich aber nicht so verhält, falls Microsoft betroffen ist. Laut Cnet ist es auch nicht das erste Mal, dass Omandy alle Details zu einer Windows-Lücke übereilt veröffentlicht und damit als Google-Entwickler für weitere Spannungen zwischen Microsoft und Google sorgt.

Microsoft behandelt das Problem mit höchster Priorität und hat selbst einen Workaround veröffentlicht, der allerdings Probleme mit der Windows-Hilfe und Windows-internen Verlinkungen verursacht.

Update 16.06.2010

Die Sicherheitslücke in Windows XP wird schon nach kurzer Zeit wie von Microsoft befürchtet aktiv ausgenutzt. Die Sicherheitsexperten von SophosLabs haben die erste Webseite entdeckt, die mit entsprechender Schadsoftware infiziert ist. Durch den Fehler im Hilfe-System von Windows XP wird beim Aufruf der Webseite weiterer Programmcode ausgeführt und ein Trojaner auf dem Rechner installiert.

Microsoft hat inzwischen ein »Fix it« veröffentlicht, dass die Ausnutzung des Fehlers verhindern kann und das fehlerhafte HCP-Protokoll deaktiviert, das bei manchen Programmen und auch Windows XP für die Hilfe-Funktion genutzt wird, auf die man dann bis zu einem Patch verzichten muss.

Laut cnet nahm Tavis Ormandy bisher keine direkte Stellung zu den Vorwürfen von Microsoft und Sicherheits-Experten. Seine Ansicht, Microsoft hätte ihn ohne die Veröffentlichung des Programmcodes zur Ausnutzung des Fehlers ignoriert, deutet darauf hin, dass es Ormandy nicht nur um die Behebung eines bis dahin unbekannten Fehlers ging. Man darf gespannt sein, wie lange es dauert, bis Ormandy von einem PC-Nutzer für die Infizierung seines PCs verantwortlich gemacht wird.