RollerChris
R.I.P.
Der britische Berater Chris Paget hatte vor einigen Wochen eine Sicherheitslücke im Zusammenhang mit den Diensten in Windows NT und seinen Nachfolgern entdeckt. Sie ermöglicht es, Code in Dienste zu injizieren und ihn mit besonderen Systemrechten auszuführen -- sofern der Dienst eine interaktive Beziehung zum Desktop pflegt. Der Beispielcode für seine "Shatter-Attack" macht Gebrauch von einer Eigenschaft der Windows-Architektur, die in diesem Kontext als Designfehler dastehen könnte: Nämlich dem direkten Versenden von Nachrichten an andere Prozesse, insbesondere der WM_TIMER-Botschaft.
Zunächst gab es nur eine erste Einschätzung Microsofts, dass man sich mit diesem Problem nicht näher auseinandersetzen werde. Unterdessen hat der Konzern doch mit einer Stellungnahme reagiert. Sie fällt relativ knapp aus und geht nicht auf technische Details ein, erklärt aber, dass das Papier von Chris Paget die Situation korrekt beschreibe. Microsoft verweist allerdings unter anderem auf die Warnungen, die man in Bezug auf Windows-Dienste schon lange Zeit ausgesprochen habe, etwa, dass interaktive Dienste nur mit sehr niedrigen Privilegien betrieben werden sollten. Einen Designfehler würde man nicht in dem von Paget beschriebenen Verhalten sehen, sondern viel mehr ein Versäumnis der Dienstentwickler. Gleichzeitig allerdings räumt Microsoft ein, auch selbst solche Dienste zu liefern -- ein Update, das sie sicherer macht, soll in Bälde kommen. (ps/c't)
Zunächst gab es nur eine erste Einschätzung Microsofts, dass man sich mit diesem Problem nicht näher auseinandersetzen werde. Unterdessen hat der Konzern doch mit einer Stellungnahme reagiert. Sie fällt relativ knapp aus und geht nicht auf technische Details ein, erklärt aber, dass das Papier von Chris Paget die Situation korrekt beschreibe. Microsoft verweist allerdings unter anderem auf die Warnungen, die man in Bezug auf Windows-Dienste schon lange Zeit ausgesprochen habe, etwa, dass interaktive Dienste nur mit sehr niedrigen Privilegien betrieben werden sollten. Einen Designfehler würde man nicht in dem von Paget beschriebenen Verhalten sehen, sondern viel mehr ein Versäumnis der Dienstentwickler. Gleichzeitig allerdings räumt Microsoft ein, auch selbst solche Dienste zu liefern -- ein Update, das sie sicherer macht, soll in Bälde kommen. (ps/c't)