Googles Project Zero-Team hat erneut in Windows 10 nach Sicherheitslücken gestöbert und ist kürzlich erneut fündig geworden. Diese Sicherheitslücke wurde vor 90 Tagen gefunden und obwohl Microsoft und eine Verlängerung der Frist gebeten hatte, wurde die Lücke von Google nun publik gemacht.
Lücke nur mit physischem Zugriff ausnutzbar
Die Sicherheitslücke betrifft nur Geräte, wo der Device Guard aktiviert ist und sie kann auch nicht aus der Ferne von Angreifern ausgenutzt werden. Zudem müsste der Angreifer vorher bereits Code auf dem System ausführen können, um die Schwachstelle auszunutzen. Google nennt Windows 10 S als Beispiel, da hier der Device Guard standardmäßig aktiviert ist.
Google hat den Fehler am 19. Januar an Microsoft gemeldet und das Unternehmen war nicht in der Lage, das Problem mit dem letzten Patchday zu beheben. Einer Bitte um eine 14-tägige Verlängerung der Veröffentlichungsfrist ist Google erneut nicht nachgekommen und macht die Lücke nun publik, sodass sie von Angreifern möglicherweise ausgenutzt werden kann.
Mit dem nächsten Windows 10 Redstone 4-Update wird Microsoft den Fehler beseitigen. Google konnte allerdings nicht die Veröffentlichung abwarten.
Quelle: Google
Und schon kommt das Update im RP Ring … mein Surface 4 Pro lädt grad das „Funktionsupdate für Windows 10, Version 1803“
Mich kotzt der Laden – Alphabet – nur noch an! ?
Warum suchen die nicht lieber mit gleichem Ehrgeiz nach eigenen Schwachstellen?
Deren gefühlte mediale Unangreifbarkeit nervt mich total. Aber sobald Microsoft vergisst, „ein Komma zu setzen“, hauen sie drauf.
Wird mal Zeit für einen netten Skandal bei denen…
Skandale bei Google werden genauso gehandhabt wie bei Facebook: Kurzer Aufschrei und Aufrufe zum Boykott.. Und nach ein paar Stunden ist alles wieder vergeben und vergessen.
Da hast Du Recht! Ist fast wie nach einem GAU bei AKWs…?
Also ich finde nach wie vor man sollte hier differenzieren.
Genauso wie bei AMD in den letzten Wochen mit deren potentiellen Sicherheitslücken haben wir doch hier auch schon wieder den falschen Begriff.
Wenn eine „Sicherheitslücke“ nur ausgenutzt werden kann nachdem, Zitat:
[b]Zudem müsste der Angreifer vorher bereits Code auf dem System ausführen können[/b]
ist doch grundsätzlich vorher schon etwas schief gelaufen.
Wobei die Aussage hier nun etwas schwammig ist, Code ausführen bedeutet irgendwelchen Code oder als Administrator (so wie bei AMDs Sicherheitslücken)?
Ich würde sowas als Systembugs bezeichnen, aber gewiss nicht als Sicherheitslücke publizieren, auch nicht als berichterstattender Blog.
Jetzt kann man sich dann ja ausrechnen, wann das Redstone 4 Update ausgerollt wird. 14 Tage nach dem Patchday. Also am 24.4. 😀 mal schauen ob das stimmt.
Da bin ich ja sooo froh endlich Android auf dem Phone zu nutzen. Das muss ja 100% safe sein, wenn die Zeit haben in W10S nach Fehlern zu suchen. Oder wie war das noch mit dem Glashaus und den Steinen? ?
?
?
Wer anderen eine Grube gräbt sollte nicht mit Steinen werfen.
Andere Gash äußern haben auch schöne Töchter?
Glashäuser… (Editierfunktion für Android App… bittöööhhhh?)
Erst kommt die neue UWP dran!
Unter Windows nutzt du gefälligst Edge, da brauch Niemand Apps. ?
Dann nutz ich halt PAWA… Und wenn die WindowsArea UWP die letzte App ist, die es für Windows gibt. ?
Auch im doofen Droiden gibt’s ’nen Browser …?
? so macht das erst Sinn!
Und es gilt wie immer, Google soll mal seinen eigenen schmutzige Wäsche waschen.
Natürlich hat Google mit Android seine eigenen Probleme, aber leider zeigt die Veröffentlichung der Sicherheitslücke, dass auch bei Microsoft so einiges in der Ressourcenverteilung schief geht. 90 Tage sind in der IT eine verdammt lange Zeit.
Aber Google müsste eigentlich inzwischen wissen wie MS den Patchday hat. Bzw. die Sichheitslücken die bei Windows festgestellt werden müssen doch nicht so Publik gemacht werden. Google will doch Microsoft irgendwie immer einen auswischen. Ausserdem kann ich mich noch an die letze schwerwiegende Sichheitslücke von Android erinnern die Publik gemacht worden war und da hat Google auch nicht direkt reagiert. Sondern das Problem wurde dann erst einige Zeit später mit einem Android Patchday gestopft.
Ob 90 Tage lang oder kurz sind, M$ schließt die Lücken, teilweise sogar noch in Systemen, die schon Jahre aus der Wartung sind. Das A….loch Google schließt noch nicht mal alle Lücken in aktuellen Systemen… Aber andere an den Pranger stellen…
Das liegt teilweise aber auch an den Geräteherstellern, die die OS-patches erst noch an ihre zerbastelte Oberfläche anpassen müssen und darauf irgendwann keinen Bock mehr haben… Also in dem Punkt kann man Google nicht die volle Schuld zu sprechen.
Da ist eine idiotische Ausrede um Verbraucher irrezuführen und von der Tatsache abzulenken, daß Google in seinem Ökosystem ein grundlegendes konzeptionelles Problem mit der Wartung von Systemsoftware hat. Microsoft hat dies Aufgabe richtig gelöst, trotz noch viel mehr Geräteherstellern und Gerätevarianten.
Wayne^^
Windows 10 S nutzt kaum Jemand. Die Tatsache, dass man die Lücke nur mit so großem Aufwand ausnutzen kann spricht für sich. Mit Google fange ich jetzt mal nicht an … ich denke wir wissen was man von dem Drecksladen zu halten hat ?
BTW .. Heute soll es wieder schön warm werden ??
Ich staune ja, dass Google keine Sicherheitslücken in Windows mobile findet ?
Jup, das wird’s… Schönen Tag ??
Ich frage mich immernoch, ob die auch ihr eigenes System auf Fehler und Lücken Prüfen und ob die ihre eigenen Lücken dann auch publizieren, wenn sie es nicht gebacken kriegen, sie zu schließen… ?
Die Lücke gibt es in jedem Windows 10, wenn der Device Guard aktiv ist, wenn ich den Artikel richtig lese. Google hat Windows 10 S gewählt, weil er da standardmäßig aktiv ist…