Googles Project Zero hat drei weitere Windows-Lücken veröffentlicht. Einem Bericht von Computerworld zufolge entwickelt Microsoft keine Patches. Die Anfälligkeiten erfüllen nach Ansicht des Softwarekonzerns nicht die Anforderungen für ein Security Bulletin, das zeigt ein Eintrag in Googles Bug Tracker.
Google hatte Microsoft Ende Oktober sowie Anfang November über die Schwachstellen informiert. Laut dem Konzern führen die Lücken zur Preisgabe von Informationen oder einer nicht autorisierten Ausweitung von Nutzerrechten. Wie Computerworld weiter berichtet, bewerte Microsoft solche Anfälligkeiten in der Regel nicht höher als “wichtig”.
“Die öffentlich gemachten Fehler haben keine ernsten Auswirkungen auf die Sicherheit”, zitiert Computerworld aus einer E-Mail eines Microsoft-Sprechers. “Wir haben nicht vor, ein Sicherheitsupdate dafür herauszubringen.”
James Forshaw hat sämtliche von Google veröffentlichten Windows-Lücken entdeckt. Seit August 2014 arbeitet er für Project Zero. Forshaw gilt dem Bericht zufolge als anerkannter Experte für Windows-Sicherheitslücken. Von Microsoft erhielt er eine Belohnung von 100.000 Dollar für die Beschreibung, wie sich Sicherheitstechniken von Windows umgehen lassen.
2013 hatte er eine Schwachstelle in Internet Explorer 11 entdeckt und 9400 Dollar von Microsoft dafür erhalten. Forshaw beteiligte sich 2013 außerdem erfolgreich am Hackerwettbewerb Pwn2Own. Die Präsentation einer Schwachstelle in Oracle Java brachte ihm ein Preisgeld von 20.000 Dollar ein.
Googles Veröffentlichungen von Windows-Lücken hatten vor kurzem zu einem Streit mit Microsoft geführt. Auslöser war die Offenlegung eines Rechteausweitungsproblems zwei Tage vor Microsofts Patchday, zumal Microsoft Google über den bevorstehenden Patch informiert und gebeten hatte, die Veröffentlichung von Details zu verschieben. Google vertritt jedoch die Ansicht, dass die vorgegebene Frist von 90 Tagen ein “optimaler Ansatz ist”. Der Anbieter habe genug Zeit, eine Lücke zu schließen, und der Nutzer erhalte die Möglichkeit, zeitnah auf Schwachstellen zu reagieren.
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Land Niedersachsen schließt datenschutzrechtliche Vereinbarung mit Microsoft zur Nutzung von Teams ab.
Ein Großteil der Inventurdifferenzen im deutschen Einzelhandel wird durch Ladendiebstähle verursacht.
DDoS-Angriffe haben seit dem Beginn des Krieges zwischen Russland und der Ukraine an Häufigkeit und…
Lieferkettenplanung in Deutschland auf Basis von Excel bei 37 Prozent der befragten Unternehmen im Einsatz.
Bedienpersonal von Fertigungsanalagen soll mögliche Risiken auch ohne Cybersecurity-Fachwissen erkennen und minimieren können.
Schiffl IT: Anomalien im Netzwerkverkehr und in den Systemen in Echtzeit identifizieren.