Windows 10 S: Google gibt Sicherheitslücke erneut vor Fix bekannt

Microsoft hat mit Googles Project Zero-Team wahrlich keine Freude. Die Google-Sicherheitsexperten haben erneut eine Windows-Sicherheitslücke veröffentlicht, bevor diese gefixt werden konnte - trotz der Bitte eines 14-tägigen Aufschubs von Microsoft. Die Lücke betrifft pi­kan­ter­wei­se be­son­ders das von Microsoft als besonders sicher angepriesene Windows 10 S. Wie Google schreibt, ermöglichten Windows 10-Systeme, bei denen das Sicherheitsfeature Device Guard aktiv ist, eine "Arbitrary Code Execution" mittels eines .NET-Objekts. Das Pro­blem sei nicht wirklich kritisch, da ein potentieller Angreifer bereits Code auf dem Rech­ner ausführen können müsste und die Sicherheitslücke auch nicht aus der Ferne genutzt werden könne.

Device Guard ermöglicht Angriffe

Der bei Windows 10 S standardmäßig aktivierte Device Guard mache solche Angriffe erst mög­lich. Da das Feature aber bei den meisten PCs nicht genutzt werde, sei davon vor allem Windows 10 S betroffen. Beim Windows Device Guard handelt es sich um ein Bündel an Hardware- und Software-basierten Sicherheitsfunktionen, mit denen eigentlich kontrolliert wer­den soll, welche Applikationen genau unter Windows 10 ausgeführt werden.


Microsoft empfiehlt den Einsatz des Device Guards primär für Geräte mit festem Soft­ware-Bestand und vollständig verwaltete Ge­rä­te. Neben Windows 10 S dürfte der Device Guard daher vor allem im Unternehmensumfeld genutzt werden. Obwohl die Sicherheitslücke an sich weniger spektakulär ist, muss diese Mi­cro­soft aber natürlich trotzdem beseitigen. Dass Google die Redmonder erneut durch eine Be­kannt­ga­be der Lücke vor einem Fix unter Druck setzt, dürfte Microsoft allerdings kaum schmecken.

Streit zwischen Microsoft und Google

Schon länger gibt es zwischen Microsoft und Google Auseinandersetzungen über diese Praxis von Google, die sich nicht nur negativ auf das Image von Microsoft auswirkt, sondern auch Hackern neue Möglichkeiten an die Hand gibt, Windows-Systeme zu kompromittieren. Auch beim aktuellen Fall ist dies ähnlich. Microsoft wurde von Google am 19. Januar über das Pro­blem informiert, konnte dieses aber bislang nicht beseitigen.

Microsoft informierte Google aber darüber, dass zum Patchday im Mai ein Fix erscheinen wird und bat Google daher um einen 14-tägigen Aufschub. Dieser wurde von Google unter Verweis auf ein Standardprozedere allerdings nicht gewährt, weshalb die Lücke nun vorab öf­fent­lich wurde. Dies geschah in der Vergangenheit bereits mehrmals, zuletzt im Februar.