Haarsträubend: Null Pointer im CrowdStrike-Code ist Grund für IT-Chaos

Seit dem weltweiten Ausfall von Windows-Systemen nach einem CrowdStrike-Update am gestrigen Freitag lief die Ursachensuche auf Hochtouren. Jetzt liegen erste Analyseergebnisse vor, die auf eklatante Fehler des Unternehmens hindeuten.

"Anfängerfehler" im Code

Nach dem Auslesen des Memory Dumps eines betroffenen Systems scheint die Ursache für den Blue Screen gefunden worden zu sein. Es handelt sich dabei um einen sogenannten Null-Pointer-Fehler, wie Heise berichtet. Der Code versuchte also auf eine ungültige Speicheradresse zuzugreifen, ohne vorher dessen Validität zu überprüfen. Das führte in Folge zu den Abstürzen und Bootloops.

Viele moderne Programmiersprachen überprüfen während der Kompilierung automatisch, ob Null Pointer im Code enthalten sind. Die CrowdStrike-Software ist jedoch in C++ geschrieben. Hier muss der Programmierer manuell eine Überprüfung vornehmen. Das scheinen die Verantwortlichen bei CrowdStrike jedoch verpasst zu haben. Hier ist die verwendete ungültige Speicheradresse 0x9c im Code zu sehen.

Mangelnde Sicherheitskontrollen

Das Unternehmen ist einer der weltweit größten Anbieter im Bereich des Endgeräteschutzes. Ein solch fundamentaler Fehler wirft jedoch kein gutes Licht auf die Entwicklungsarbeit und Prozesse bei der Cybersecurity-Firma. Das Problem hätte allerspätestens bei einem Test auf einem stabilen System auffallen müssen. Offenbar wurden solche Tests aber zu keiner Zeit durchgeführt.

CrowdStrike wird sich in den nächsten Wochen und Monaten mit vielen Folgeproblemen auseinandersetzen müssen. Neben einer wohl fälligen Überarbeitung der internen Prozesse könnten auch etliche Klagen auf das Unternehmen zukommen, in denen Kunden eventuelle Schadensersatzansprüche stellen.

Nicht das erste Mal

Wie wir bereits berichteten, kam es schon in der Vergangenheit zu Server-Abstürzen nach CrowdStrike-Updates. Dabei legte im April dieses Jahr unter anderem ein Kernel Bug Linux-Systeme lahm. Auch in diesem Fall wurden eklatante Lücken und ein Muster unzureichender Tests im Rahmen der Qualitätssicherung bei CrowdStrike offenbart.


Siehe auch: