Microsoft schließt heimlich schwere Windows-Lücken

Microsoft hat nach Angaben des Sicherheitsexperten Nicolas Economou mit dem Update MS10-024 nicht nur eher harmlose Schwachstellen beseitigt, sondern heimlich auch zwei schwerwiegende Sicherheitslücken ausgemerzt, ohne dass die Öffentlichkeit davon erfuhr.

Wie Enonomou über den Sicherheitsdienstleister Core Security mitteilte, ermöglichten die heimlich geschlossenen Lücken Angreifern falsche Antworten auf DNS-Anfragen. Betroffen waren sowohl Microsoft Exchange, als auch der SMTP-Dienst von Windows 2000 und XP sowie Windows Server 2003 und 2008.


Core Security wirft Microsoft nun einen unverantwortlichen Umgang mit den schweren Schwachstellen vor. Die Kunden seien einem Sicherheitsrisiko ausgesetzt worden, weil die Lücken nicht öffentlich erwähnt wurden. So sei der Eindruck entstanden, das Update MS10-024 sei verzichtbar, was die Systeme der Anwender für Angriffe anfällig hätte machen können.

Microsoft erklärte in einer Stellungnahme, dass man in den Sicherheitshinweisen zum Patch-Day keine ausführlichen Informationen zu allen vom jeweiligen Update zu beseitigenden Fehlern veröffentliche. Diese seien lediglich dazu da, die Anwender das bestehende Risiko abschätzen zu lassen. Generell werde aber eindeutig darüber informiert, wie groß das Risiko ist, dem sich die Kunden aussetzen, wenn ein Patch nicht installiert wird.

Dabei werde immer die maximale Bedrohung durch eine bestimmte Schwachstelle zur Einstufung verwendet. Microsoft behauptet also, dass die von Core Security öffentlich gemachten Schwachstellen, die das Update beseitigte, nicht schwerer wiegen als die öffentlich Beschriebenen.