Microsoft hat am 14. Januar die Patches für sämtliche unterstützten Windows-Versionen ausgerollt. Darin enthalten war ein Bugfix, welcher eine schwere Sicherheitslücke im Betriebssystem der Redmonder behebt.
Konkret geht es um die Sicherheitslücke mit der Bezeichnung CVE-2020-0601, welche die Windows CryptoAPI betrifft. Hierbei handelt es sich um einen Teil des Windows-Betriebssystems, welcher kryptografische Operationen übernimmt. Ein Angreifer hätte dabei die Sicherheitslücke ausnutzen können, um Schadsoftware damit zu signieren, womit die Datei erscheinen würde, als wäre sie von einer vertrauenswürdigen Stelle ausgegeben worden. Außerdem hatte der Bug dafür gesorgt, dass Angreifer auch digitale Zertifikate erstellen konnten, um verschlüsselte Kommunikation abzufangen. Die CryptoAPI-Fehler betreffen allerdings nur neuere Versionen des Betriebssystems, sprich Windows 10, Server 2019 und Server 2016.
Die NSA, die US-amerikanische Geheimdienstorganisation, habe keine aktive Bedrohung durch diese Lücke festgestellt und meldete diese umgehend an Microsoft. Allzu üblich ist es allerdings nicht, dass Geheimdienste diverse Lücken an Microsoft melden. Man behielt dieses Wissen in der Vergangenheit immer wieder gerne für sich, um damit potenzielle Ziele leichter angreifen zu können. Es ist das erste Mal, dass Microsoft angibt, von der NSA über eine Lücke benachrichtigt worden zu sein. Die Arbeit von Geheimdiensten in dieser Hinsicht scheint sich allerdings durchaus verändert zu haben, insbesondere seit Windows 10. Nachdem Regierungen vermehrt auf Windows 10 setzen, ist man durch potenzielle Lücken auch selbst angreifbar. Der britische Geheimdienst GCHQ meldete in der Vergangenheit regelmäßig Lücken an Microsoft, fürchtet man doch auch, dass Wissen, das man selbst besitzt, womöglich auch woanders auch gegen die eigene Regierung genutzt werden könnte.
